Plus d’un an sans article, oui je sais c’est long mais sinon je ne suis toujours pas mort Aujourd’hui un rapide billet expliquant comment configurer un proxy socks5 sous Debian. Après avoir suivi ce rapide mémo vous aurez un configurer un proxy socks5 avec deux types d’identification : user/mot de passe et liste blanche d’ip.

 

Configurer un proxy socks5 sous Debian : Introduction

Ici nous utiliserons Dante dans sa version 1.4.x disponible de base sous Debian 9. Si vous êtes toujours sous Jessie vous pouvez essayer cette configuration sous 1.3.x (aucune idée si cela fonctionnera), tenter d’installer Dante via les backports ou alors le compiler vous même.

J’ai choisi de configurer un proxy avec deux types d’identification car Chrome ne supporte pas l’identification user/mot de passe…(oui oui j’utilise Chrome, je sais c’est le mal).

 

 

Configurer un proxy socks5 sous Debian : Installation de Dante

Ici le plus simple, connectez vous en SSH à votre serveur puis lancer la commande suivante

sudo apt-get install dante-server

 

L’installation est rapidement effectué et le service devrait essayé de se lancer pour lamentablement foiré. Ne vous inquiétez pas c’est tout à fait normal.

invoke-rc.d: initscript danted, action "start" failed.
● danted.service - SOCKS (v4 and v5) proxy daemon (danted)
Loaded: loaded (/lib/systemd/system/danted.service; disabled; vendor preset: enabled)
Active: failed (Result: exit-code) since Fri 2018-06-01 11:45:50 CEST; 20ms ago
Docs: man:danted(8)
man:danted.conf(5)
Process: 24475 ExecStart=/usr/sbin/danted -D (code=exited, status=1/FAILURE)

 

 

Configurer un proxy socks5 sous Debian : Configuration de dante

Nous allons maintenant éditer la configuration de dante.

sudo nano /etc/danted.conf

 

Modifiez votre configuration (attention certaines lignes sont à commenter pour éviter les redites) afin qu’elle ressemble à celle ci-dessous. N’oubliez pas de remplacer :

1. eth0 si votre interface réseau est nommée différemment
2. AAA.AAA.AAA.AAA par l’ip que vous souhaitez autoriser à se connecter.
3. le port (ici 50000)

internal: 0.0.0.0 port=50000
external : eth0
socksmethod: username none
user.privileged: root
user.unprivileged: nobody
user.libwrap: nobody

# allow everyone from everywhere so long as they auth, log errors

client pass {
    from: AAA.AAA.AAA.AAA/24 port 1-65535 to: 0.0.0.0/0
    log: error # connect disconnect iooperation
    socksmethod: none username
}

client pass {
    from: 0.0.0.0/0 to: 0.0.0.0/0
    log: error # connect disconnect iooperation
    socksmethod: username
}

# allow everyone from everywhere so long as they auth, log errors

socks pass {
    from: AAA.AAA.AAA.AAA/24 port 1-65335 to: 0.0.0.0/0
    command: bind connect udpassociate
    log: error # connect disconnect iooperation
    socksmethod: none username
}

socks pass {
    from: 0.0.0.0/0 to: 0.0.0.0/0
    command: bind connect udpassociate
    log: error # connect disconnect iooperation
    socksmethod: username
}

 

Vous pouvez maintenant relancer dante

sudo service danted restart

 

Pour tester votre proxy depuis un autre serveur, utilisez la commande suivante

curl -v -x socks5://user:mdp@IP.DU.SERVEUR.PROXY:port https://www.noobunbox.net

 

Si tout se passe bien vous devriez voir ceci

* TCP_NODELAY set
* SOCKS5 communication to www.noobunbox.net:443
* SOCKS5 connect to IPv4 IP.DU.SERVEUR.PROXY (locally resolved)
* SOCKS5 request granted.
* Connected to (nil) (IP.DU.SERVEUR.PROXY) port (#0)

 

Voilà Amusez vous bien

 

 

Cet article Configurer un proxy socks5 sous Debian est apparu en premier sur Noobunbox.

Slack est une une plate-forme de communication collaborative assez chouette à utiliser. J’essaye donc d’y intégrer plusieurs outils et donc je me suis demandé comment je pouvais configurer des notifications SSH Slack. Comme vous pouvez vous en douter la réponse se trouve ci-dessous

 

Configurer des notifications SSH Slack : Setup Slack

Avant de « travailler » coté serveur(s), vous allez devoir créer un Wek Hook sur Slack.

https://votre-domaine.slack.com/apps/manage/custom-integrations

 

Une fois la manipulation effectuée, récupérez l’URL du Web Hook et conservez la

 

Configurer des notifications SSH Slack : Configuration serveur(s)

Maintenant il s’agira de se connecter à toutes les machines qui devront envoyer des notifications, et de créer un script

sudo nano /etc/ssh/notify.sh

 

Ajoutez le code suivant en remplacant YOUR_SLACK_WEBHOOK_URL par l’URL récupérée sur Slack

#!/bin/sh
if [ "$PAM_TYPE" != "close_session" ]; then 
 url="YOUR_SLACK_WEBHOOK_URL"
 channel="#ssh-logins"
 host="`hostname`"
 content="\"attachments\": [ { \"mrkdwn_in\": [\"text\", \"fallback\"], \"fallback\": \"SSH login: $PAM_USER connected to \`$host\`\", \"text\": \"SSH login to \`$host\`\", \"fields\": [ { \"title\": \"User\", \"value\": \"$PAM_USER\", \"short\": true }, { \"title\": \"IP Address\", \"value\": \"$PAM_RHOST\", \"short\": true } ], \"color\": \"#F35A00\" } ]"
 curl -X POST --data-urlencode "payload={\"channel\": \"$channel\", \"mrkdwn\": true, \"username\": \"ssh-bot\", $content, \"icon_emoji\": \":computer:\"}" $url &
fi

 

Rendez le script exécutable avec la commande suivante

sudo chmod +x /etc/ssh/notify.sh

 

Puis modifier le fichier /etc/pam.d/sshd en y ajoutant le code suivant (en fin de fichier convient parfaitement)

session optional pam_exec.so seteuid /etc/ssh/notify.sh

 

Vous pouvez maintenant recharger la configuration du serveur SSH et effectuer un test en vous connectant

sudo service ssh reload

 

Voici le type de notification que vous devriez recevoir

 

 

Source

• sandrinodimattia.net

 

Cet article Configurer des notifications SSH Slack est apparu en premier sur Noobunbox.

Aujourd’hui via Touitteur j’ai vu que la nouvelle version Mainline de NGINX, c’est à dire la 1.13.0, introduisait le support natif de TLS 1.3. Je me suis dit que c’était l’occasion de mettre tout ça en pratique. Vous pouvez vous amusez à mettre ça en prod sur vos blogs si ça vous chante.

Pour ce billet, je vais m’appuyer sur l’excellent script de mon coupaing Nicolas Simond

 

 

NGINX tls 1.3 : Pré-requis

Nous allons donc commencer par installer les paquets qui nous permettront de compiler NGINX

apt-get install libgeoip-dev libxslt-dev libpcre3 libpcre3-dev build-essential zlib1g-dev libbz2-dev libssl-dev tar unzip curl git -y

 

Ensuite, naviguons vers le repertoire dans lequel nous compilerons notre programme

cd /usr/src

 

Téléchargeons la dernière version de NGINX et décompressons là

wget https://nginx.org/download/nginx-1.13.0.tar.gz
tar -xaf nginx-1.13.0.tar.gz
mv nginx-1.13.0 nginx

 

Nous allons récupérer une version dev d’OpenSSL supportant TLS 1.3 (Le draft 18)

git clone https://github.com/openssl/openssl.git
cd openssl
git checkout tls1.3-draft-18

 

 

NGINX tls 1.3 : Compilation et installation

Avant de lancer la compilation de NGINX, nous allons appliquer le patch Dynamic TLS Records

cd /usr/src/nginx
wget https://raw.githubusercontent.com/cujanovic/nginx-dynamic-tls-records-patch/master/nginx__dynamic_tls_records_1.11.5%2B.patch
patch -p1 < nginx__dynamic_tls_records_1.11.5*.patch

 

Passons maintenant à la premiere étape de la compilation : configure. Ici j’attire votre attention sur le fait que les développeurs de nginx ou d’OpenSSL sont des trolls…si si…. Parce que vous avez beau utilisé des versions de NGINX et d’OpenSSL supportant nativement tls 1.3, il frauda quand meme spécifier que vous souhaitez l’activer.

 

./configure \
--http-client-body-temp-path=/usr/local/etc/nginx/body \
--http-fastcgi-temp-path=/usr/local/etc/nginx/fastcgi \
--http-proxy-temp-path=/usr/local/etc/nginx/proxy \
--http-scgi-temp-path=/usr/local/etc/nginx/scgi \
--http-uwsgi-temp-path=/usr/local/etc/nginx/uwsgi \
--user=www-data \
--group=www-data \
--prefix=/etc/nginx \
--error-log-path=/var/log/nginx/error.log \
--http-log-path=/var/log/nginx/access.log \
--sbin-path=/usr/sbin/nginx \
--conf-path=/etc/nginx/nginx.conf \
--with-pcre-jit \
--with-http_v2_module \
--with-debug \
--with-http_stub_status_module \
--with-http_realip_module \
--with-http_addition_module \
--with-http_dav_module \
--with-http_gzip_static_module \
--with-http_sub_module \
--with-http_xslt_module \
--with-file-aio \
--with-threads \
--with-http_ssl_module \
--with-http_geoip_module \
--with-ld-opt=-lrt \
--with-openssl=/usr/src/openssl \
--with-openssl-opt=enable-tls1_3

 

Nous pouvons lancer la phase de compilation et l’installation

make -j $(nproc)
make install

 

Si tout se déroule comme prévu voici ce qu’un…

nginx -V

 

…devrait vous retourner

root@noobunbox:/usr/src/openssl$ nginx -V
nginx version: nginx/1.13.0
built with OpenSSL 1.1.1-dev xx XXX xxxx
TLS SNI support enabled
configure arguments: --http-client-body-temp-path=/usr/local/etc/nginx/body --http-fastcgi-temp-path=/usr/local/etc/n ginx/fastcgi --http-proxy-temp-path=/usr/local/etc/nginx/proxy --http-scgi-temp-path=/usr/local/etc/nginx/scgi --http -uwsgi-temp-path=/usr/local/etc/nginx/uwsgi --user=www-data --group=www-data --prefix=/etc/nginx --error-log-path=/va r/log/nginx/error.log --http-log-path=/var/log/nginx/access.log --sbin-path=/usr/sbin/nginx --conf-path=/etc/nginx/ng inx.conf --with-pcre-jit --with-http_v2_module --with-debug --with-http_stub_status_module --with-http_realip_module --with-http_addition_module --with-http_dav_module --with-http_gzip_static_module --with-http_sub_module --with-http_ xslt_module --with-file-aio --with-threads --with-http_ssl_module --with-http_geoip_module --with-openssl=/usr/src/op enssl --with-openssl-opt=enable-tls1_3 --with-ld-opt=-lrt

 

 

NGINX tls 1.3 : Configuration des vhosts

Nous pouvons enfin passer à l’étape finale, la configuration de vos sites. Il vous suffira de modifier la configuration des protocoles ssl en y ajoutant TLSv1.3 comme ci-dessous

ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;

 

Et d’ajouter les ciphers suivants à votre variable ssl_ciphers

TLS13-AES-128-GCM-SHA256 TLS13-AES-256-GCM-SHA384 TLS13-CHACHA20-POLY1305-SHA256

 

Ce qui dans mon cas me donne

ssl_ciphers 'TLS13-CHACHA20-POLY1305-SHA256:TLS13-AES-256-GCM-SHA384:TLS13-AES-128-GCM-SHA256:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-CHACHA20-POLY1305-D:ECDHE-RSA-CHACHA20-POLY1305-D:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-RSA-AES256-SHA384';

 

Il ne vous reste plus qu’à recharger la configuration NGINX

sudo service nginx reload

 

 

It’s aliiiiive

 

 

Cet article Compiler NGINX avec le support de TLS 1.3 est apparu en premier sur Noobunbox.

Toujours dans la série de billets concernant la création d’une seedbox, nous allons aborder la création et la configuration d’un bot Telegram Rtorrent. À chaque téléchargement terminé vous recevrez une notification.

 

Créer et configurer un bot Telegram Rtorrent : Création d’un bot

Dans un premier temps nous allons créer notre bot, récupérer son token d’identification et récupérer notre ID telegram. Il vous suffit de contacter @botfather.

 

Dès l’ouverture de la « conversation » BotFather nous indique la liste des commandes disponibles, dans notre cas c’est la commande « /newbot » qui nous intéresse. Une fois cette dernière rentrée, choisissez un nom pour votre bot.

 

Maintenant donnons un nom d’utilisateur à notre bot, ici nbx-rtorrent-test-bot. Vous obtiendrez alors le token d’identification nécessaire, dans cet exemple : 376966659:AAHLmxwmSIs24n12V7URPhkMHmyfnKO2QTE

 

Une fois le token de votre bot en votre possession, ouvrez une conversation avec @myidbot, puis rentrez la commande /getid. Via cette dernière vous obtiendrez, comme vous vous en doutez surement, votre ID telegram.

 

Notre bot est pret, il ne nous reste qu’à configurer rtorrent.

 

 

Créer et configurer un bot Telegram Rtorrent : Configuration de rtorrent

Commençons par créer le script qui utilisera l’api telegram pour vous envoyer les notifications.

nano ~/.rtorrent-telegram.sh

 

Copiez et collez le texte suivant en prenant soin de remplacer les variables DESTINATAIRE et TOKEN par votre chat id et le token d’identification de votre bot

#!/bin/bash

# Remplacer VOTRE_CHAT_ID par votre identifiant Telegram obtenu depuis @myidbot
# Remplacer XXXXXXXXX:yyyyyyyyyyyyyyyyyyyyy avec le Token de votre Bot créé depuis @BotFather

DESTINATAIRE="VOTRE_CHAT_ID"
TOKEN="XXXXXXXXX:yyyyyyyyyyyyyyyyyyyyy"

curl -s --data chat_id=$DESTINATAIRE --data-urlencode text="$1 a été téléchargé avec succès !" "https://api.telegram.org/bot$TOKEN/sendMessage" > /dev/null

 

Modifiez les droits du fichiers afin qu’il puisse être exécuté

chmod +x ~/.rtorrent-telegram.sh

 

Maintenant modifiez le fichier de configuration de rtorrent

nano ~/.rtorrent.rc

 

Puis ajoutez la ligne de configuration suivante. (Veillez à bien remplacer utilisateur par le nom d’utilisateur concerné)

system.method.set_key = event.download.finished,botgram,"execute=/home/votre-utilisateur/.rtorrent-telegram.sh,$d.get_name="

 

Enfin, redémarrez rtorrent via la commande suivante

sudo service utilisateur-rtorrent restart

 

Si tout a été configuré correctement, vous devriez recevoir des notifications une fois le téléchargement d’un torrent terminé

 

 

Source

• mondedie.fr

 

Cet article Créer et configurer un bot Telegram Rtorrent est apparu en premier sur Noobunbox.

Oui je sais que je n’ai pas posté de billet depuis quelques mois, mais le site n’est pas mort pour autant ce billet en étant la preuve. Aujourd’hui je vais vous parler d’UptimeRobot qui comme vous le savez déjà vous permet de surveiller la disponibilité de vos sites. Depuis octobre 2016, il est possible via UptimeRobot public status page de créer une page, publique ou privée, de reporting. Comme les développeurs d’UptimeRobot font bien leur travail ils ont incorporé la possibilité d’accéder de configurer l’accès à cette page via un sous-domaine. Ainsi il vous faudra créer un enregistrement CNAME pour le sous-domaine de votre choix et le faire pointer sur stats.uptimerobot.com. Nous allons donc ici voir comment faire cohabiter HTTPS et UptimeRobot public status page.

Tout d’abord sachez que depuis Février 2017, si vous utilisez une URL personnalisé pour votre page de statut UptimeRobot générera un certificat via Let’s Encrypt. Nous allons commencer par un petit rappel vous expliquant comment configurer une page de statut sur un sous-domaine via Cloudflare (fonctionne aussi avec n’importe quel autre registrar), puis une autre méthode qui vous permettra d’utiliser des mécanismes de sécurité additionnels tel que HPKP ou juste simplement de conserver une configuration HTTPS des plus sécurisées.

 

HTTPS et UptimeRobot public status page via Cloudflare ou autre

Si vous utilisez Cloudflare, il vous suffira de créer un enregistrement CNAME, de le faire pointer vers stats.uptimerobot.com.

 

Si vous choisissez de faire passer le traffic via les serveurs de Cloudflare assurez-vous aussi que votre politique de sécurité concernant les certificats ne soit pas réglée sur Flexible.

 

Vous devriez maintenant pouvoir accéder sans aucun soucis à votre page de statut en HTTPS

 

 

HTTPS et UptimeRobot public status page via votre DNS

Si comme moi vous souhaitez garder la configuration la plus sécurisée qui soit il est tout à fait possible d’utiliser HTTPS et UptimeRobot public status à condition de se servir de NGinx. Il va falloir commencer par créer un enregistrement CNAME chez votre registrar, cependant dans cette configuration faites bien attention à le faire pointer vers votre serveur.

 

Créez un virtual host et installez votre certificat TLS, dans cet exemple j’utilise Let’s Encrypt. Maintenant modifions la configuration de notre site

sudo nano /etc/nginx/sites-enabled/status.noobunbox.net

 

Dans le bloc server ajoutez les lignes de configuration suivante

 location / {
 proxy_set_header Host $host;
 proxy_pass https://stats.uptimerobot.com;
 }

 

Maintenant vous pouvez recharger la configuration de votre serveur NGinx

sudo service nginx reload

 

Vous pouvez enfin accéder à votre site et voir que tout fonctionne correctement.

 

Tout en gardant une configuration HTTPS correcte

 

 

Cet article HTTPS et UptimeRobot public status page est apparu en premier sur Noobunbox.

PHP 7.1 est disponible depuis peu, cette nouvelle version apporte son lot de nouveautés et semble être plus performante. Ci dessous un petit guide vous permettant d’Installer PHP 7.1 sous Debian et Ubuntu.

 

 

Désinstaller PHP 7.0

Vous pouvez commencer par désinstaller PHP 7.0 en utilisant la commande suivante

apt-get purge 'php7*'

 

 

Installer PHP 7.1 sous Debian 8 : Configuration du dépot

Ondřej Surý met à disposition un dépôt permettant de télécharger et d’installer facilement cette nouvelle version de php. Pour cela il vous suffit de rentrer les commandes suivantes

apt-get install apt-transport-https lsb-release ca-certificates
wget -O /etc/apt/trusted.gpg.d/php.gpg https://packages.sury.org/php/apt.gpg
echo "deb https://packages.sury.org/php/ $(lsb_release -sc) main" > /etc/apt/sources.list.d/php.list
apt-get update

 

 

Installer PHP 7.1 sous Ubuntu 14.04 – 16.10 : Configuration du dépot

Ondřej Surý a aussi crée un dépôt PPA pour les utilisateurs d’Ubuntu, ci dessous les commandes nécessaires

sudo add-apt-repository ppa:ondrej/php
sudo apt-get update

 

 

Installer PHP 7.1

NGinx

Ci dessous une commande pour installer PHP 7.1 ainsi que quelques dépendances qui pourraient vous être utiles

apt install --no-install-recommends php7.1 php7.1-fpm php7.1-mysql php7.1-curl php7.1-json php7.1-gd php7.1-mcrypt php7.1-msgpack php7.1-memcached php7.1-intl php7.1-sqlite3 php7.1-gmp php7.1-geoip php7.1-mbstring php7.1-redis php7.1-xml php7.1-zip

 

N’oubliez pas de modifier la configuration de vos sites afin de mettre à jour le socket d’écoute de PHP-FPM

/run/php/php7.1-fpm.sock

 

Apache

apt install --no-install-recommends php7.1 libapache2-mod-php7.1 php7.1-mysql php7.1-curl php7.1-json php7.1-gd php7.1-mcrypt php7.1-msgpack php7.1-memcached php7.1-intl php7.1-sqlite3 php7.1-gmp php7.1-geoip php7.1-mbstring php7.1-redis php7.1-xml php7.1-zip

 

Source

• Colin O’Dell

 

Cet article Installer PHP 7.1 sous Debian et Ubuntu est apparu en premier sur Noobunbox.

Installer Nextcloud correctement n’est pas forcément aussi simple que l’on pourrait le croire. Nous allons donc ici détailler l’installation et la configuration d’un serveur Nextcloud avec chiffrement, authentification double facteur ainsi qu’une mise en cache avec redis.

 

 

Installer Nextcloud : Pré-requis

Afin de pouvoir installer et configurer correctement Nextcloud doivent être installés sur votre serveur :

• Un serveur MySQL : ici MariaDB
• Un serveur web : ici NGinx
• php : ici php7
• Redis : si vous souhaitez profiter du cache

 

 

Installer Nextcloud : Configuration du serveur MySQL

Nous allons devoir modifier la configuration de notre serveur MySQL sans quoi il serait impossible d’installer Nextcloud. MySQL conserve un journal des transactions en écritures effectuées (insert et update) et cette journalisation peut s’effectuer selon différents modes :

1. mode statement : les données sont journalisées sous forme de requêtes (par défaut)
2. mode row : les données sont journalisées sous forme de lignes
3. mode mixed : MySQL détermine en fonction du contexte si la journalisation doit se faire en mode statement ou row

Or Nextcloud requiert que le mode mixte soit activé, modifions alors le fichier de configuration MySQL

sudo nano /etc/mysql/my.cnf

 

Dans le bloc [mysqld] ajoutons

binlog-format=mixed

 

Redémarrons maintenant MariaDB

sudo systemctl restart mariadb

 

 

Installer Nextcloud : Création de la base de données

Nous allons créer une base de données et un utilisateur MySQL dédiés à l’utilisation de Nextcloud. Dans cette exemple nous utiliserons nextcloud_db comme bdd, nextcloud_user comme utilisateur et nextcloud_password comme mot de passe.

mysql -u root -p
<mysql root password>
mysql> CREATE DATABASE nextcloud_db;
mysql> GRANT ALL PRIVILEGES ON nextcloud_db.* TO 'nextcloud_user'@'localhost'
 -> IDENTIFIED BY 'nextcloud_password';
mysql> FLUSH PRIVILEGES;

 

 

Installer Nextcloud : Configuration du serveur web

Passons maintenant à la configuration de NGinx. Commencons par ajouter un vhost

sudo nano /etc/nginx/sites-enabled/cloud.mondomaine.tld

 

Copions puis collons la configuration suivante dans notre nouveau vhost. N’oubliez pas de la modifier en fonction de vos besoins et de votre version de NGinx.

#------------------------------------------------------------------------
# REDIRECTION HTTPS
#

server {
 listen 80;
 server_name cloud.mondomaine.tld;
 return 301 https://cloud.mondomaine.tld$request_uri;

 location '/.well-known/acme-challenge' {
 root /var/www/html/www.mondomaine.tld/;
 allow all;
 try_files $uri /$1;}

 }

#------------------------------------------------------------------------
# BLOCK SERVEUR HTTPS
#
server {

 listen 443 ssl http2;
 server_name cloud.mondomaine.tld;
 root /var/www/html/cloud.mondomaine.tld;
 index index.php index.html index.htm;


#------------------------------------------------------------------------
# SSL
#

 ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
 ssl_ecdh_curve secp384r1;
 ssl_session_timeout 1d;
 ssl_session_cache shared:SSL:50m;
 ssl_session_tickets off;
 ssl_ciphers 'ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-CHACHA20-POLY1305-D:ECDHE-RSA-CHACHA20-POLY1305-D:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-SHA:ECDHE-RSA-AES128-SHA256:ECDHE-RSA-AES128-SHA:ECDHE-RSA-AES256-SHA384';
 ssl_prefer_server_ciphers on;
 ssl_certificate /etc/nginx/ssl/cloud.mondomaine.tld/privatekey.key;
 ssl_certificate_key /etc/nginx/ssl/cloud.mondomaine.tld/chain.pem;
 ssl_trusted_certificate /etc/nginx/ssl/cloud.mondomaine.tld/chain.pem;

 ssl_stapling on;
 ssl_stapling_verify on;
 resolver 8.8.4.4 8.8.8.8 valid=300s;
 resolver_timeout 5s;

 add_header Strict-Transport-Security "max-age=15768000; includeSubDomains; preload";
 add_header Content-Security-Policy "default-src https: data: 'unsafe-inline' 'unsafe-eval'" always;
 add_header X-Content-Type-Options nosniff always;
 add_header X-Xss-Protection "1; mode=block" always;
 add_header X-Robots-Tag none;
 add_header X-Download-Options noopen;
 add_header X-Permitted-Cross-Domain-Policies none;

#------------------------------------------------------------------------
# PHP
#
 location = /robots.txt {
 allow all;
 log_not_found off;
 access_log off;
 }

 # The following 2 rules are only needed for the user_webfinger app.
 # Uncomment it if you're planning to use this app.
 #rewrite ^/.well-known/host-meta /public.php?service=host-meta last;
 #rewrite ^/.well-known/host-meta.json /public.php?service=host-meta-json
 # last;

 location = /.well-known/carddav {
 return 301 $scheme://$host/remote.php/dav;
 }
 location = /.well-known/caldav {
 return 301 $scheme://$host/remote.php/dav;
 }

 # set max upload size
 client_max_body_size 512M;


 # Disable gzip to avoid the removal of the ETag header
 gzip off;

 # Uncomment if your server is build with the ngx_pagespeed module
 # This module is currently not supported.
 #pagespeed off;

 error_page 403 /core/templates/403.php;
 error_page 404 /core/templates/404.php;

 location / {
 rewrite ^ /index.php$uri;
 }

 location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)/ {
 deny all;
 }
 location ~ ^/(?:\.|autotest|occ|issue|indie|db_|console) {
 deny all;
 }

 location ~ ^/(?:index|remote|public|cron|core/ajax/update|status|ocs/v[12]|updater/.+|ocs-provider/.+|core/templates/40[34])\.php(?:$|/) {
 include fastcgi_params;
 fastcgi_split_path_info ^(.+\.php)(/.*)$;
 fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
 fastcgi_param PATH_INFO $fastcgi_path_info;
 fastcgi_param HTTPS on;
 #Avoid sending the security headers twice
 fastcgi_param modHeadersAvailable true;
 fastcgi_param front_controller_active true;
 fastcgi_pass unix:/var/run/php/php7.0-fpm.sock;
 fastcgi_intercept_errors on;
 fastcgi_request_buffering off;
 }

 location ~ ^/(?:updater|ocs-provider)(?:$|/) {
 try_files $uri/ =404;
 index index.php;
 }

 location ~* \.(?:css|js)$ {
 try_files $uri /index.php$uri$is_args$args;
 add_header Cache-Control "public, max-age=7200";
 access_log off;
 }

 location ~* \.(?:svg|gif|png|html|ttf|woff|ico|jpg|jpeg)$ {
 try_files $uri /index.php$uri$is_args$args;
 # Optional: Don't log access to other assets
 access_log off;
 }

#------------------------------------------------------------------------
# LETSENCRYPT
#

 location '/.well-known/acme-challenge' {
 root /var/www/html/www.mondomaine.tld/;
 allow all;
 try_files $uri /$1;}
}

 

 

Installer Nextcloud : Téléchargement de Nextcloud

Téléchargeons et décompressons Nextcloud à la racine de notre serveur web puis renommons le dossier Nextcloud en fonction de nos besoins.

cd /var/www/html/
sudo wget https://download.nextcloud.com/server/releases/nextcloud-10.0.1.zip
sudo unzip nextcloud-10.0.1.zip
sudo mv nextcloud cloud.mondomaine.tld

 

Accordons les droits à notre serveur web sur ce dossier

sudo chown -R www-data.www-data /var/www/html/cloud.mondomaine.tld

 

 

Installer Nextcloud : Installation de Nextcloud

Connectons nous sur notre domaine Nextcloud tel que configuré sur notre vhost NGinx. Choisissons un nom d’utilisateur et un mot de passe pour l’administrateur du serveur puis indiquons les paramètres de connexion à notre base de données

 

 

Installer Nextcloud : Optimiser Nextcloud avec Redis

Nous allons à présent configurer redis comme serveur de cache pour Nextcloud, nous devons donc modifier la configuration de notre serveur Nextcloud

sudo nano /var/www/html/cloud.loktby.me/config/config.php

 

A la fin de ce fichier ajoutons avant la dernière ligne ); le code suivant

'memcache.local' => '\\OC\\Memcache\\Redis',
'filelocking.enabled' => 'true',
'memcache.distributed' => '\\OC\\Memcache\\Redis',
'memcache.locking' => '\\OC\\Memcache\\Redis',
'redis' =>
array (
'host' => 'localhost',
'port' => 6379,
'timeout' => 0,
'dbindex' => 0,
),

 

Enfin vérifiez que tout fonctionne correctement via l’interface cli de redis

sudo redis-cli monitor

 

En parallèle connectez vous à votre instance de NextCloud. Si tout fonctionne correctement vous devriez voir en temps réel votre serveur redis répondre a des requêtes depuis le cache.

root@noobunbox:~$ redis-cli monitor
OK
1475405848.235951 [0 127.0.0.1:47048] "GET" "xxxxxxxxxxxxxxxxx/AutoloaderOC_User"
1475405848.241654 [0 127.0.0.1:47048] "GET" "xxxxxxxxxxxxxxxxx/AutoloaderOC_Hook"
1475405848.246273 [0 127.0.0.1:47048] "GET" "xxxxxxxxxxxxxxxxx/AutoloaderOC_Helper"
1475405848.247115 [0 127.0.0.1:47048] "GET" "xxxxxxxxxxxxxxxxx/AutoloaderOC_Response"
1475405848.248164 [0 127.0.0.1:47048] "GET" "xxxxxxxxxxxxxxxxx/AutoloaderOC_Defaults"

 

 

Installer Nextcloud : Mise en place du chiffrement

Nextcloud nous permet de chiffrer les données, coté serveur seulement. Afin de configurer le chiffrement ajoutons une application.

 

Naviguons vers l’onglet Désactivées et activons l’extension Default encryption module

 

Une fois l’extension activée rendons nous dans le panel d’administration puis naviguons vers l’onglet Encryption. Enfin cochons la case Activer le chiffrement côté serveur.

 

Déconnectons et reconnectons nous afin d’initialiser nos clefs. A noter qu’une fois reconnecté vous pouvez si vous le souhaitez configurer une clé de récupération, c’est à dire une clé supplémentaire utilisée pour chiffrer les fichiers. Elle permet de récupérer les fichiers des utilisateurs s’ils oublient leur mot de passe (si et seulement ils activent l’option Activer la récupération du mot de passe sur leur compte).

 

 

Installer Nextcloud : Mise en place de l’authentification double facteur

Afin de mieux sécuriser notre installation nous allons mettre en place une authentification double facteur sur notre serveur Nextcloud. Commençons donc par ajouter une nouvelle application. Puis naviguons vers l’onglet Tool et activons l’extension TOTP TwoFactor (Google Authenticator)

 

Désormais chaque utilisateur utiliser la double authentification après l’avoir activée dans les options de son compte

 

Cet article Installer Nextcloud avec chiffrement, 2FA et cache Redis est apparu en premier sur Noobunbox.

Nous allons ici optimiser WordPress avec redis, un outil open source permettant de maintenir des bases de données en mémoire (NoSQL) et de mettre des objets en cache. Son principal avantage est sa rapidité.

 

 

Optimiser WordPress avec Redis : Installation de Redis

Afin de pouvoir utiliser redis pour la mise en cache d’objets avec WordPress nous allons installer deux paquets : le serveur redis ainsi qu’une extension php7.0 permettant de à des applications php de communiquer avec redis.

sudo apt-get install redis-server php7.0-redis

 

 

Optimiser WordPress avec Redis : Configurer la mise en cache

Le serveur redis installé nous allons le configurer pour mettre en place un cache. Commencez par modifier la configuration de redis

sudo nano /etc/redis/redis.conf

 

Ajoutez ces deux lignes de configuration.

maxmemory 256mb # Mémoire maximum utilisée par redis à modifier selon les capacités de votre serveur
maxmemory-policy allkeys-lru # Redis remplacera les clés les moins récentes afin de garder en mémoires les données les plus récemment utilisées

 

 

Optimiser WordPress avec Redis : Installation du script de mise en cache

Téléchargez le script

wget https://github.com/ericmann/Redis-Object-Cache/raw/master/object-cache.php

 

Déplacez le script vers le répertoire ou est installé wordpress

sudo mv object-cache.php /var/www/html/repertoire-wordpress/wp-content/

 

 

Optimiser WordPress avec Redis : Configuration de WordPress

Éditez le fichier de configuration de WordPress

sudo nano /var/www/html/repertoire-wordpress/wp-config.php

 

Si vous souhaitez profiter des fonctions de mise en cache de wordpress en plus de la mise en cache d’objets assurez vous que la configuration suivante soit présente

define('WP_CACHE', true);

 

La constante WP_CACHE_KEY_SALT doit obligatoirement être configurée afin d’ajouter un préfixe à toutes les clés du cache utilisée par le plugin. Ainsi si vous hébergez plusieurs instances de WordPress assurez vous que chacune d’entre elles ait un sel unique.

define('WP_CACHE_KEY_SALT', 'mondomain.tld');

 

 

Optimiser WordPress avec Redis : Fin de l’installation

Vous pouvez maintenant redémarrer tous les services impactées par cette nouvelle configuration

sudo service redis-server restart
sudo service nginx restart ou sudo service apache2 restart
sudo service php7.0-fpm

 

Maintenant vérifiez que tout fonctionne correctement via l’interface cli de redis

sudo redis-cli monitor

 

En parallèle visitez quelques pages de votre blog. Si tout fonctionne correctement vous devriez voir en temps réel votre serveur redis répondre a des requêtes depuis le cache.

OK
1474557797.503200 "monitor"
1474557797.503288 [0 127.0.0.1:55601] "GET" "wp_:options:alloptions"
1474557797.503438 [0 127.0.0.1:55601] "EXISTS" "wp_:options:notoptions"
1474557797.503491 [0 127.0.0.1:55601] "GET" "wp_:options:notoptions"
1474557797.503544 [0 127.0.0.1:55601] "EXISTS" "wp_:options:alloptions"
1474557797.503595 [0 127.0.0.1:55601] "GET" "wp_:options:alloptions"
1474557797.503837 [0 127.0.0.1:55601] "EXISTS" "wp_user_meta:4874"
1474557797.503893 [0 127.0.0.1:55601] "GET" "wp_user_meta:4874"

 

Sources

• Digital Ocean
• Redis-Object-Cache

 

Cet article Optimiser WordPress avec Redis est apparu en premier sur Noobunbox.

Je viens de mettre en place un Résolveur DNSCrypt public. Celui-ci est accessible en IPv4 seulement pour le moment. L’IPv6 arrivera plus tard. Vous pouvez aussi si vous le souhaitez vous servir de ce résolveur comme d’un simple serveur DNS (connexion sur le port 53).

Résolveur DNSCrypt public : Késséssé ?

Lorsque vous vous connectez à un domaine votre ordinateur envoi une requête à un serveur DNS, requête contenant le FDQN que vous souhaitez consulter, qui lui renvoie l’adresse IP correspondante. La demande et la réponse sont transmises en clair ce qui signifie donc qu’un attaquant peut non seulement conserver un historique de tous les sites que vous avez consulté mais aussi modifier les réponses faites par le serveur DNS (DNS Spoofing). Plutôt flippant n’est-ce pas ?

Heureusement DNSCrypt vous permet de remédier à cela en chiffrant vos requêtes DNS.  Des clients DNSCrypt sont disponibles sur tous les systèmes d’exploitation et dans certains directement depuis votre routeur.

Résolveur DNSCrypt public : Informations de connexion

Nom : dns.noobunbox.net
IPv4 : 163.172.170.36:4434
IPv6 : [2001:bc8:4400:2100::20:415]:4434 (DNSCrypt indisponible pour le moment)

Provider name : 2.dnscrypt-cert.dns.noobunbox.net
Clé publique : 70B3:ECC0:EF16:48D2:7F65:BEC2:25A2:0201:2F36:D777:E054:9BF3:F4B3:DF95:B960:4B4D

Résolveur DNSCRYPT public : Fonctionnalités

• Résolveur DNS basé en France
• Entièrement neutre
• Validation DNSSEC
• Aucun log
• Statistiques sur l’utilisation bientôt disponibles

Résolveur DNSCRYPT public : Transparence

Dans un soucis de transparence vous trouverez ci-dessous la configuration du serveur DNS (unbound)

server:
 interface: 0.0.0.0
 interface: ::0
 access-control: 0.0.0.0/0 allow
 access-control: ::/0 allow
 auto-trust-anchor-file: "/var/lib/unbound/root.key"
 root-hints: "/etc/unbound/root.hints"
 verbosity: 0
 qname-minimisation: yes

 statistics-interval: 0
 extended-statistics: yes
 statistics-cumulative: yes

 num-threads: 2 
 msg-cache-slabs: 4
 rrset-cache-slabs: 4
 infra-cache-slabs: 4 
 key-cache-slabs: 4 
 rrset-cache-size: 100m
 msg-cache-size: 50m
 outgoing-range: 465
 so-rcvbuf: 4m
 so-sndbuf: 4m
 port: 53
 do-ip4: yes
 do-ip6: yes
 do-udp: yes
 do-tcp: yes
 do-daemonize: yes
 hide-identity: yes
 hide-version: yes
 harden-glue: yes
 harden-dnssec-stripped: yes

La configuration unbound, telle que ci-dessous, permet seulement d’effectuer des statistiques sur l’utilisation du serveur DNS. Ces statistiques sont totalement anonymes et seront bientôt disponibles en ligne.

 statistics-interval: 0
 extended-statistics: yes
 statistics-cumulative: yes

Si vous souhaitez participer et me permettre de mettre en place de nouveaux serveurs vous pouvez soutenir ce projet via la plateforme Liberapay

Faire un don

Cet article Résolveur DNSCrypt disponible pour tous est apparu en premier sur Noobunbox.

Comme je l’ai déjà répété à de nombreuses reprises l’authentification forte (2FA) c’est la vie et je vous recommande fortement de la mettre en place dès lors que cette option vous est proposée. Nous allons donc aujourd’hui voir comment mettre en place une authentification double facteur avec une Yubikey sur un serveur SSH.

 

 

Authentification forte (2FA) Yubikey SSH : Vous avez dit Yubikey ?

Une Yubikey est un dispositif d’authentification USB vous permettant d’utiliser différentes méthodes d’authentification : FIDO U2F, Yubico-OTP, OATH-OTP, OATH-HOTP, OATH-TOTP, OpenPGP, et PIV. Lorsqu’elle est connectée à votre ordinateur la Yubikey simule un clavier USB. Deux méthodes d’authentification sont paramétrables via ses deux slots de configuration, elle pourra réagir à une stimulation physique (pression du bouton) ou automatiquement (via des logiciels). Si vous souhaitez en savoir plus sur le fonctionnement des Yubikeys je vous conseille cet article rédigé par Aeris et le wiki de Maxime de Roucy.

 

 

Authentification forte (2FA) Yubikey SSH : Clé API

Avant de pouvoir commencer nous allons devoir récupérer une clé d’API Yubico. Ouvrez cette page, renseignez votre email, générez un code OTP en appuyant sur le bouton de votre Yubikey et validez.

Sauvegardez les identifiants qui s’affichent.

 

 

Authentification forte (2FA) Yubikey SSH : Installation et configuration

Commençons par nous connecter à notre serveur puis récupérons la librairie requise en lançant la commande

sudo apt-get install libpam-yubico

 

Maintenant ouvrez le fichier /etc/pam.d/sshd

sudo nano /etc/pam.d/sshd

 

Recherchez  @include common-auth puis juste en-dessous ajoutez

auth required pam_yubico.so id=mon-id key=ma-cle url=https://api.yubico.com/wsapi/2.0/verify?id=%d&otp=%s

 

 

Authentification forte (2FA) Yubikey SSH : Lien Yubikey / Utilisateur

Maintenant que tout est en place nous allons devoir faire le lien entre chaque Yubikey et chaque utilisateur. Ce lien fonctionne sous le même modèle que pour les clés SSH cependant les informations doivent etre stockées dans ~/.yubico/authorized_yubikeys au format suivant utilisateur:yubikeyid1:yubikeyid2.

Pour récupérer votre yubikeyid lancez la commande suivante, puis appuyez sur le bouton de votre Yubikey

read -p "Enter a YubiKey OTP: " s && echo 'The key id is' ${s:0:12}

 

Exemple :

root@noobunbox:~# read -p "Enter a YubiKey OTP: " s && echo 'The key id is' ${s :0:12}
Enter a YubiKey OTP: vvukdhrutoplhftvrucnhgnvjnjjkfbeeeibbhejckie
The key id is vvukdhrutopl

 

Maintenant créons le fichier nécessaire, ici pour l’utilisateur root

mkdir ~/.yubico
nano ~/.yubico/authorized_yubikeys

 

Nous pouvons maintenant faire le lien entre notre utilisateur, root, et notre yubikeyid, vvukdhrutopl, en insérant dans ce fichier

root:vvukdhrutopl

 

Relancez la configuration du serveur SSH

sudo service sshd reload

 

Une fois les modifications effectuées ne fermez pas votre connexion SSH, ouvrez en une seconde et vérifiez que tout fonctionne.

 

 

Authentification forte (2FA) Yubikey SSH : Gestion authentification par utilisateur

Maintenant quelques problèmes peuvent se poser :

• Que faisons-nous si nous avons avez d’autres users SSH se connectant au serveur n’ayant pas ou ne pouvant pas utiliser de Yubikey (rsync par exemple) ?
• Je suis un fou, je veux m’authentifier avec mot de passe + yubikey + clé SSH, je fais comment ?

 

Hé bien c’est assez simple puisqu’il suffit de modifier la configuration du serveur SSH.

sudo nano /etc/ssh/sshd_config

 

Pour un utilisateur scripts nous souhaitons utiliser seulement une authentification par clé, il nous suffira d’ajouter les lignes de configuration suivante

Match User scripts
AuthenticationMethods publickey

 

Pour l’utilisateur root nous souhaitons utiliser une authentification mot de passe + yubikey et par clé

Match User root
AuthenticationMethods publickey,keyboard-interactive

 

 

Authentification forte (2FA) Yubikey SSH : Démo

Ci-dessous une petite démo d’une authentification sur un serveur avec publickey + mot de passe / yubikey
 
 

Sources

• De l’authentification sans mot de passe
• YubiKey : Introduction et configuration

 

Cet article Authentification forte (2FA) Yubikey SSH est apparu en premier sur Noobunbox.

J’avais déjà publié il y a quelques temps un billet assez détaillé vous expliquant comment mieux sécuriser votre installation WordPress et depuis je me suis dit que l’on pouvait encore faire mieux. Nous allons donc nous attacher à améliorer la sécurité des mots de passe WordPress.

Tout d’abord permettez moi de faire le gros lourd mais commencez par n’utiliser qu’un seul mot de passe par site, ensuite générez des mots de passe complexes et enfin mettez en place une double authentification dès que vous en avez la possibilité.

 

Comment les mots de passe WordPress sont-ils chiffrés ?

Avant d’être stocké dans votre base de donnée votre mot de passe est haché.Ce hash est obtenu par l’intermédiaire d’un framework appelé phpass.

phpass utilise 3 éléments pour hacher votre mot de passe :

• Une fonction de hachage : blowfish, DES ou MD5,
• Un sel (une donnée supplémentaire générée aléatoirement et propre à chaque mot de passe)
• Un nombre d’itérations (la fonction de hachage sera répétée X fois)

WordPress utilise par défaut MD5 comme fonction de hachage (répétée 8192 fois) pour la simple et unique raison qu’elle est supportée par toutes les versions de PHP (depuis PHP 3.0).

 

 

Pourquoi faut-il améliorer le chiffrement des mots de passe WordPress ?

Maintenant pour vous donner un ordre d’idée dites vous un GPU Nvidia GTX 1080 Founders Edition est capable de tester:

• 24809,8 MH/s (24809,8 millions de mots de passe par seconde) pour du MD5
• 6857.6 kH/s (6857.6 milliers mots de passe par seconde) pour du phpassMD5Wordpress
• 55195 H/s (55195 mots de passe par seconde) pour du SHA512Crypt (Drupal7)

 

 

Comment améliorer le chiffrement des mots de passe WordPress ?

On peut remplacer le chiffrement utilisé par défaut sous WordPress par bcrypt via l’installation d’un plugin. Ce qui implique d’avoir  :

• Premièrement un WordPress à jour : bcrypt n’est supporté que depuis la version 4.4. Ce qui est loin d’être grave puisque nous en sommes à la 4.6
• Deuxièmement une version de PHP >= 5.5.0

 

 

Quel plugin me permet d’utiliser bcrypt pour chiffrer les mots de passe WordPress ?

J’utilise depuis peu un plugin développé par Roots.io.

Pour l’installer rien de plus simple il vous suffit de récupérer ce fichier ce fichier puis de l’uploder dans le dossier wp-content/mu-plugins/.Pourquoi dans mu-plugins et pas comme un plugin « normal » ? Simplement parce que les mu-plugins (must-use plugin) ne sont pas désactivables dans l’interface d’administration de WordPress ce qui vous évite de les désactiver accidentellement.

Une fois installé, le chiffrement de votre mot de passe sera mis à jour après que vous vous soyez reconnecter sur WordPress. Enfin sachez que si pour une raison X ou Y (mauvaise en tout cas) vous décidiez de supprimer ce plugin, le chiffrement de votre mot de passe ne sera PAS modifié et vous ne rencontrerez aucun problème pour vous identifier.

 

Sources :

• PHP CMS Out-of-the-Box Security Comparison Chart
• A Closer Look at WordPress Password Hashes
• Nvidia GTX 1080 Hashcat Benchmarks
• Improving your password security

 

Cet article Améliorer la sécurité des mots de passe WordPress est apparu en premier sur Noobunbox.

Vous vous souvenez de mon article concernant HubicFuse ? Hé bien sachez mesdames et messieurs qu’il existe un outil encore plus intéressant nommé Rclone. Nous allons donc mettre en place une sauvegarde sur Hubic avec Rclone.

 

Sauvegarde sur Hubic avec Rclone : Rclone c’est quoi ?

Rclone c’est tout d’abord le Rsync du cloud, donc un outil, en ligne de commande, vous permettant de synchroniser vos fichiers sur :

• Google Drive
• Amazon S3
• Openstack Swift / Rackspace cloud files / Memset Memstore
• Dropbox
• Google Cloud Storage
• Amazon Drive
• Microsoft One Drive
• Hubic
• Backblaze B2
• Yandex Disk
• The local filesystem

Pas mal non ? Mais comme indiqué dans le titre de l’article nous allons nous concentrer sur Hubic

 

 

Sauvegarde sur Hubic avec Rclone : Installation d’Rclone

Commencez donc par télécharger la dernière version du programme

wget http://downloads.rclone.org/rclone-current-linux-amd64.zip

 

Nous allons maintenant extraire les fichiers puis installer Rclone

unzip rclone-current-linux-amd64.zip
cd rclone-v1.32-linux-amd64
sudo cp rclone /usr/sbin/
sudo chown root:root /usr/sbin/rclone
sudo chmod 755 /usr/sbin/rclone

 

Installons le man page (l’aide)

sudo mkdir -p /usr/local/share/man/man1
sudo cp rclone.1 /usr/local/share/man/man1/
sudo mandb

 

 

Sauvegarde sur Hubic avec Rclone : Tunnel SSH et Proxy

Pour récupérer son jeton d’authentification Rclone va momentanément lancer un serveur web et nous devrons nous connecter à l’adresse suivante : http://127.0.0.1:53682/. Nous allons donc configurer un tunnel SSH afin de pouvoir atteindre cette page.

 

Sauvegarde sur Hubic avec Rclone : Configuration du tunnel SSH

Ouvrez votre client SSH préféré (ici Putty), chargez la configuration de votre serveur. Puis naviguez vers SSH > Tunnels

 

Indiquons un numéro de port source, dans cet exemple 5050, et choisissons une destination Dynamic puis cliquez sur Add

 

Une fois la connexion correctement configurée cliquons sur Open et identifions nous sur notre serveur.

 

Sauvegarde sur Hubic avec Rclone : Configuration de votre navigateur

Afin de pouvoir profiter de ce tunnel SSH nous allons devoir configurer notre navigateur, dans notre cas Firefox.

Rendez vous dans les options du navigateur, puis naviguez vers l’onglet Avancé > Réseau.

Cliques sur Paramètres afin de configurer la façon dont Firefox se connecte à Internet.

Configurons notre proxy SOCKS de comme ci-dessous

 

 

Sauvegarde sur Hubic avec Rclone : Configuration Hubic

Rclone étant installé, le tunnel SSH configuré, nous allons maintenant configurer l’accès à notre compte Hubic.

Commencons la configuration en indiquant à Rclone que nous souhaitons ajouter une nouvelle connexion

sudo rclone config

 

Rclone vous propose alors différentes options, ici choisissons « New Remote »

No remotes found - make a new one
n) New remote
s) Set configuration password
q) Quit config
n/s/q> n

 

Donnons maintenant un nom à notre connexion, dans mon cas noobunbox-hubic

name> noobunbox-hubic

 

Rclone vous affiche maintenant la liste de tous les type de cloud avec il est compatible, ici nous souhaitons ajoutez un compte Hubic, c’est donc le numéro 7

Type of storage to configure.
Choose a number from below, or type in your own value
[..]
 7 / Hubic
 \ "hubic"
[..]
Storage> 7

 

Lors des deux prochaines options de configuration, n’indiquons rien comme demandé.

Hubic Client Id - leave blank normally.
client_id>
Hubic Client Secret - leave blank normally.
client_secret>

 

Attention ici c’est l’étape piège. Il est impératif de choisir le mode auto config sans quoi nous ne pourrions pas obtenir de jeton d’authentification via notre tunnel SSH. Nous répondons donc Yes

Remote config
Use auto config?
 * Say Y if not sure
 * Say N if you are working on a remote or headless machine
y) Yes
n) No
y/n>y

 

Rclone va maintenant nous demander de nous connecter à l’adresse http://127.0.0.1:53682/auth afin de pouvoir avoir accès à notre compte Hubic

If your browser doesn't open automatically go to the following link: http://127.0.0.1:53682/auth
Log in and authorize rclone for access
Waiting for code...

 

Ouvrons donc cette page dans Firefox.

 

 

Connectons-nous vos identifiants de connexion Hubic. Et si tout fonctionne bien, voici ce que vous devriez voir dans notre navigateur

 

 

Maintenant dans notre terminal, Rclone nous informe que la connexion a été effectuée et nous demande de confirmer. Validons

[noobunbox-hubic]
client_id =
client_secret =
token = {"votre jeton d'identification"}
y) Yes this is OK
e) Edit this remote
d) Delete this remote
y/e/d> Y

 

Rclone vous donne maintenant la liste des connexions configurées. Nous pouvons quitter.

Name                   Type
====                   ====
noobunbox-hubic        hubic

e) Edit existing remote
n) New remote
d) Delete remote
s) Set configuration password
q) Quit config
e/n/d/s/q>q

 

 

Sauvegarde sur Hubic avec Rclone : Synchronisation des fichiers

Rclone étant configuré, nous allons pouvoir passer à la synchronisation de nos fichiers.

Pour synchroniser un répertoire sur Hubic, utilisez la commande suivante

rclone sync repertoire-local connexion-hubic:default/repertoire-hubic

 

Dans mon cas, le répertoire local contenant mes sauvegardes est hubic, le nom de la connexion est noobunbox-hubic et je souhaite que mon dossier de sauvegarde sur Hubic se nomme sauvegarde-noobunbox. Je lance donc la commande suivante

sudo rclone sync hubic noobunbox-hubic:default/sauvegarde-noobunbox

 

Rclone synchronise nos fichiers

root@noobunbox:~$ rclone sync hubic noobunbox-hubic:default/sauvegarde-noobunbox
2016/08/19 03:15:02 Hubic Swift container default path sauvegarde-noobunbox/: Waiting for checks to finish
2016/08/19 03:15:02 Hubic Swift container default path sauvegarde-noobunbox/: Waiting for transfers to finish
2016/08/19 03:15:08 Waiting for deletions to finish
2016/08/19 03:15:08
Transferred: 48 Bytes (7 Bytes/s)
Errors: 0
Checks: 0
Transferred: 3
Elapsed time: 6.3s

 

Vérifions que nos fichiers soient bien présents sur Hubic

 

Voilà tout fonctionne donc comme prévu. Dans un prochain billet j’aborderais la mise en place d’une sauvegarde chiffrée sur Hubic avec Rclone

 

Source

• Documentation Rclone

 

Cet article Sauvegarde sur Hubic avec Rclone est apparu en premier sur Noobunbox.

Avant de plonger dans le vif du sujet, c’est à dire sécuriser SSH avec SSHFP, quelques explications sont nécessaires.

Tout d’abord parlons du système SSH, celui-ci utilise un système d’empreinte de clé pour vérifier l’authenticité du serveur lorsque le client se connecte. Lors des futures connexions, l’empreinte de la clé sauvegardé est vérifiée. Le client SSH vous avertira si l’empreinte stockée localement diffère de l’empreinte reçue lors de futures tentatives de connexion. (documentation freebsd)

Pour faire court : le client vérifie que le serveur auquel vous vous connectez soit le bon. Génial, non ? Hé bien non puisqu’en pratique presque personne ne le fait.

SSHFP permet donc à un administrateur de déclarer dans son DNS (qu’il faudra avoir protégé par DNSSEC sinon cette protection sera moins efficace) l’empreinte de ses serveurs SSH.

 

 

Composition de l’enregistrement

Un enregistrement SSHFP se compose de 3 éléments :

1. L’algorithme : dépend du type de clés SSH : RSA (1), DSA (2), ECDSA (3), ED25519 (4)
2. Le type d’empreinte : SHA-1 (1) ou SHA-256 (2)
3. L’empreinte (hexadécimale) du serveur SSH

 

 

Générer des enregistrements SSHFP

Pour générer vos enregistrements SSHFP rien de plus simple, il vous suffit d’utiliser la commande suivante

ssh-keygen -r subdomain.domain.tld

 

N’acceptant que des authentifications par clé Ed25519 sur mon serveur j’ai choisi d’utiliser l’enregistrement suivant

root@noobunbox.net:~$ ssh-keygen -r www.noobunbox.net
www.noobunbox.net IN SSHFP 4 1 33f75f87a4dc9e1084d0aeb91e92e8fbb3a3f676

 

 

Test et configuration du client

Une fois les modifications au niveau du DNS effectuées et propagées, connectez vous à votre serveur SSH via la commande suivante

ssh -o "VerifyHostKeyDNS yes" subdomain.domain.tld -v

 

Si DNSSEC et SSHFP sont correctement configurés sur votre domaine vous devriez voir les lignes suivantes

debug1: found 2 secure fingerprints in DNS
debug1: matching host key fingerprint found in DNS

 

Si vous voyez l’erreur No matching host key fingerprint found in DNS cela peut signifier que vos enregistrements SSHFP sont incorrects ou non propagés
Si vous voyez l’erreur DNS lookup error: data does not exist ainsi que The authenticity of host 'subdomain.domain.tld (XXX.XXX.XXX.XXX)' can't be established., cela signifie que votre resolveur DNS ne prend pas en charge DNSSEC ou que DNSSEC est mal configuré ou non configuré.

 

Afin de ne pas avoir à utiliser l’option « VerifyHostKeyDNS yes » à chaque connexion, modifiez le fichier de configuration du client ssh

sudo nano /etc/ssh/ssh_config

 

Afin d’y ajouter

VerifyHostKeyDNS yes

 

Puis relancez le service SSH

/etc/init.d/ssh reload

 

 

Source

• How do I generate SSHFP records?

 

Cet article Sécuriser SSH avec un enregistrement SSHFP est apparu en premier sur Noobunbox.

Il est tout à fait possible de créer des templates de vm sous Virtualbox. L’opération est meme plus simple que sous VMware Workstation.

 

 

Créer des templates de VM sous Virtualbox : Création du template

Commençons par modifier les paramètres de la machine qui nous servira de template.

 

Dans l’onglet Stockage, assurez vous qu’aucun fichier iso ne soit monté

 

Dans l’onglet Son, désactivez le pilote son puis validez en cliquant sur OK

 

Maintenant faites un nouveau clic droit sur votre machine virtuelle puis cliquez sur Exporter un appareil virtuel

 

Passez en mode Expert, remplissez les champs comme bon vous semble, puis choisissez un dossier et nom de sauvegarde. Lorsque vous êtes prêt cliquez sur Exporter.

 

Attendez maintenant la fin de l’opération

 

 

 

Créer des templates de VM sous Virtualbox : Déploiement de template

Pour déployer un template existant, cliquez sur Fichier > Importer un appareil virtuel

 

Passez en mode expert puis sélectionnez le template que vous souhaitez déployer

 

Editer le nom de votre future machine virtuelle en modifiant le champ Nom, modifiez la configuration de votre VM si vous le souhaites, puis lorsque vous êtes prêt cliquez sur Importer

 

Attendez que l’opération se termine

 

Voilà vous venez de déployer votre template

 

Cet article Créer des templates de VM sous Virtualbox est apparu en premier sur Noobunbox.

Un nouveau mémo assez rapide expliquant comment installer les Additions Invités Virtualbox.

 

 

Installer les Additions Invités Virtualbox

Commencez par charger le cdrom contenant les Additions Invités dans votre machine virtuelle

 

Ensuite via la console virtualbox ou via une connexion ssh installez les paquets requis

sudo apt-get install gcc make build-essential linux-headers-$(uname -r)

 

Maintenant montez le cdrom sur votre VM

sudo mount /media/cdrom

 

Créez un dossier dans lequel nous allons copier le contenu du cdrom

sudo mkdir /tmp/virtualbox
sudo cp -r /media/cdrom/* /tmp/virtualbox/

 

Vous pouvez lancer l’installation

sudo /tmp/virtualbox/VboxLinuxAdditions.run

 

Une fois l’installation terminé redémarrez votre machine virtuelle

sudo reboot

 

Cet article Installer les Additions Invités Virtualbox est apparu en premier sur Noobunbox.

Quand on installe souvent des machines virtuelles. on peut utiliser des templates pour se faciliter la vie, par contre il reste toujours un truc chiant : trouver l’IP d’une machine virtuelle. C’est pas forcément très pratique de devoir ouvrir la console de votre VM et de balancer un ipconfig ou ifconfig afin de récupérer son IP.

 

 

Trouver l’IP d’une machine virtuelle

Trouver l’IP d’une machine virtuelle : Sous Virtualbox

Il vous faudra avoir installé les Additions invité VirtualBox pour que cette manipulation fonctionne.

VirtualBox devra etre lancé avec les droits administrateurs et votre machine virtuelle doit avoir été démarrée.

Il vous suffit ensuite d’ouvrir une invite de commande Windows dans le répertoire de VirtualBox et d’exécuter la commande suivante. (A noter que sous Linux la commande est exactement la même)

VBoxManage guestproperty get Nom-VM "/VirtualBox/GuestInfo/Net/0/V4/IP"

 

Dans mon cas je cherche à obtenir l’IP de la seconde interface configurée

VBoxManage guestproperty get Debian "/VirtualBox/GuestInfo/Net/1/V4/IP"

 

Ce qui me renvoie

 

 

 

Trouver l’IP d’une machine virtuelle : Sous VMware Workstation

Sous VMware Workstation, vous devrez installer les vmware-tools ou le paquet open-vm-tools.

Pour trouver l’IP d’une machine virtuelle, il vous faudra commencer par connaitre son adresse mac.

Faites un clic droit sur votre machine virtuelle, puis cliquez sur Settings

 

Choisissez Network Adapter puis cliquez sur Advanced

 

Copiez cette adresse mac

 

Ouvrez maintenant une invite de commande puis lancez la commande suivante. À noter que les caractères de l’adresse mac doivent être en minuscules et les « deux points » doivent être remplacés par des tirets

arp -a | findstr "votre-adresse-mac"

 

Sous Linux, utilisez la commande suivante (ici pas besoin de minuscules ni de remplacer les deux points par tirets)

arp -a | grep "votre-adresse-mac"

 

Ce qui dans mon cas me donne le résultat suivant

 

Cet article Trouver l’IP d’une machine virtuelle est apparu en premier sur Noobunbox.

Si vous êtes comme moi et que vous passez votre temps à tester pas mal de distributions ou paquets, vous devez souvent jouer avec VMware Workstation d’où l’utilité de créer des templates de VM.

Dans ce mémo nous allons créer un template de debian 8. L’opération reste la même pour les autres systèmes d’exploitation.

 

 

Créer des templates de VM : Préparation

Commencez donc par ouvrir VMware Workstation et créez une première machine virtuelle qui servira de template.

 

Maintenant, faites un clic droit sur votre machine virtuelle, puis naviguez vers Snapshot > Take Snapshot

 

Nommez votre snapshot et validez

 

Une fois l’opération terminée, faites à nouveau un clic droit sur votre machine virtuelle et cliquez sur Settings

 

Dans l’onglet Options, cliquez sur Advanced puis cochez Enable Template mode puis validez

 

Voilà votre template est maintenant prêt à être déployé

 

 

Créer des templates de VM : Déploiement de template

Pour déployer un template, il suffit de le cloner.

Encore une fois faites un clic droit sur votre template et naviguez vers Manage > Clone

 

Cliquez sur Suivant

 

Assurez vous que votre template soit bien sélectionné

 

Créez un clone complet

 

Donnez un nom à votre nouvelle machine virtuelle

 

Attendez que le clonage se termine.

 

 

Tout devrait se dérouler sans encombre

 

Voila vous avez déployé votre première machine virtuelle à partir d’un template

 

Source

• VMware Documentation, Template Mode for a Parent Virtual Machine

 

Cet article Créer des templates de VM sous VMware Workstation est apparu en premier sur Noobunbox.

Je viens de faire la découverte d’un thème Material Design ruTorrent. Voici à quoi il ressemble

 

 

Donc si cela vous dit je vous propose de l’installer.

 

Thème Material Design ruTorrent

Commencez par vous rendre dans le dossier contenant les thèmes rutorrent

cd /var/www/rutorrent/plugins/theme/themes

 

Maintenant téléchargez le thème depuis github

git clone git://github.com/phlooo/ruTorrent-MaterialDesign.git materialdesign

 

Il ne vous reste plus qu’à changer le propriétaire des fichiers

chown -R www-data:www-data /var/www/rutorrent/plugins/theme/themes/materialdesign

 

Source

• Rutorrent Material Design

 

Cet article Thème Material Design ruTorrent est apparu en premier sur Noobunbox.

Je souhaitais installer, configurer et sécuriser un serveur FTP : voilà donc un nouveau mémo détaillant cette manipulation avec proftpd. Notre serveur FTP devra autoriser la connexion d’utilisateurs virtuels enfermés (chroot) dans un dossier. Le serveur FTP devra aussi leur permettre d’accéder à des ressources présentes sur d’autres disques.

 

 

Configurer et sécuriser un serveur FTP : installation de proftpd

Commençons donc par installer le logiciel proftpd

sudo apt-get install proftpd-basic

 

Lors du processus d’installation, vous allez devoir choisir entre un serveur inetd ou standalone. Si vous choisissez inetd, le serveur ne se lancera que si une connexion FTP est initiée, si vous choisissez standalone le daemon tournera en permanence. Vu la puissance actuelle des machines, on peut tranquillement choisir le mode standalone

 

 

Configurer et sécuriser un serveur FTP : Ajout d’un utilisateur virtuel

Pas question d’ajouter un utilisateur système pour chaque personne ayant besoin d’accèder à ce serveur FTP, il faut donc créer des utilisateurs virtuels. Accessoirement nous souhaitons que ces utilisateurs n’aient accès à aucun shell. Nous allons créer configurer un « faux shell » nommé /bin/false

Commençons par lister les shells disponibles sur notre serveur via la commande suivante

cat /etc/shell

 

Dans mon cas voici le résultat

root@noobunbox:~$ cat /etc/shells
# /etc/shells: valid login shells
/bin/sh
/bin/dash
/bin/bash
/bin/rbash

 

Le shell /bin/false n’étant pas disponible, nous allons l’ajouter, il suffit d’editer le fichier /etc/shells

sudo nano /etc/shells

 

pour y ajouter l’entrée suivante

/bin/false

 

Cette étape terminée nous allons pouvoir configurer notre utilisateur virtuel via la commande ftpasswd. Quelques explications sur les options que nous allons utilisés

• sha512 : nous permet d’utiliser l’algorithme sha512 à la place de md5
• uid & gid : il faut spécifier un user identifier et groupe identifier pour chaque utilisateur virtuel
• file : le fichier contenant les données utilisateurs
• home : le répertoire dans lequel notre utilisateur virtuel se connectera
• shell: le shell que notre utilisateur peut utiliser

ftpasswd --passwd --name=mon-utilisateur --sha512 --uid=800 --gid=800 --file=/etc/proftpd/ftpd.passwd --home=/srv/ftp/ --shell=/bin/false

 

 

Configurer et sécuriser un serveur FTP : Génération d’un certificat SSL

Créons le dossier qui contiendra notre certificat ainsi que la clé privée

sudo mkdir /etc/proftpd/ssl
sudo chmod 600 /etc/proftpd/ssl/ && cd /etc/proftpd/ssl

 

Générons une clé privée un CSR et signons notre certificat

sudo openssl ecparam -genkey -name secp384r1 > ftp-key-p384.pem
sudo openssl req -new -key ftp-key-p384.pem -out csr.pem
sudo openssl req -x509 -days 3650 -key ftp-key-p384.pem -in csr.pem -out certificate.pem

 

Maintenant protégeons ces fichiers

sudo chmod 400 ftp-key-p384.pem csr.pem
sudo chmod 600 certificate.pem

 

 

Configurer et sécuriser un serveur FTP : configuration générale de protftpd

Nous pouvons maintenant modifier la configuration générale de proftpd,

sudo nano /etc/proftpd/proftpd.conf

 

De nombreuses options y sont définies. Voici celle que vous devez modifier / configurer :

• ServerIdent off – pas la peine que des petits malins puissent identifier la version de proftpd que vous utilisez
• Servername « Votre Serveur » – donnez un nom à votre serveur
• AuthUserFile /etc/proftpd/ftpd.passwd – Indispensable pour que votre serveur puisse accepter les connexions de vos utilisateurs virtuels
• DefaultRoot ~ – Indispensable pour que les utilisateurs ne puissent pas se balader partout sur votre serveur
• Port 21 – Je vous conseille de modifier le port d’écoute par défaut
• PassivePorts 1234 1234 – Indiquer un range de ports (ex 30100 30200) utilisé pour le mode PASV. Pour plus d’infos sur le mode passif, cliquez ici
• Include /etc/proftpd/tls.conf – indispensable puisque nous allons configurer et sécuriser le protocole FTPS

 

Assurez vous donc que les entrées suivantes soient présentes dans votre fichier de configuration, tout en les modifiant à votre convenance :

ServerIdent off
ServerName "noobunbox.net"

AuthUserFile /etc/proftpd/ftpd.passwd

DefaultRoot ~

Port 34555
PassivePorts 30100 30200

Include /etc/proftpd/tls.conf

 

 

Configurer et sécuriser un serveur FTP : configuration SSL

Nous n’allons pas seulement configurer proftpd pour qu’il utilise le certificat que nous avons généré précédemment, nous allons aussi configurer correctement le protocole FTPS c’est à dire :

• N’autoriser que les connexions sécurisées
• N’autoriser que les connexions via le protocole TLS 1.2
• Utiliser des ciphers sécurisés
• Utiliser le chiffrement implicite

 

Petite parenthèse avant de continuer : vous avez surement remarquer que lorsque vous configuriez une connexion FTPS dans votre client préféré vous aviez le choix entre le chiffrement explicite et implicite.  Le chiffrement implicite permet de n’autoriser que les connexions chiffrées dès l’établissement de la connexion.

 

Modifions le fichier contenant la configuration du protocole FTPS

sudo nano /etc/proftpd/tls.conf

 

Que nous configurons de la manière suivante

<IfModule mod_tls.c>
TLSEngine on
TLSLog /var/log/proftpd/tls.log
TLSProtocol TLSv1.2
TLSCipherSuite EECDH+CHACHA20:EECDH+AESGCM:EECDH+AES;
TLSOptions UseImplicitSSL
TLSRSACertificateFile /etc/proftpd/ssl/certificate.pem
TLSRSACertificateKeyFile /etc/proftpd/ssl/ftp-key-p384.pem
TLSVerifyClient off
TLSRequired on
</IfModule>

 

Vous pouvez maintenant redémarrer le service proftpd et vous connectez avec votre utilisateur.

Voici comment il faudrait configurer la connexion avec le client FileZilla

 

 

Configurer et sécuriser un serveur FTP : partage de dossiers

Lorsque j’ai voulu partager des dossiers avec mes utilisateurs virtuels je dois dire que j’ai eu un peu de mal. Je souhaitais que ces utilisateurs aient assez à des ressources stockées sur plusieurs disques et partages réseaux.

Par exemple vous souhaiteriez partager :

• vos images stockées dans /home/utilisateur/images
• des vidéos stockées sur un disque /media/disk01/videos
• des fichiers stockés sur un nas monté dans /media/synology/docs

 

Si vous créez des liens symboliques dans le home de vos utilisateurs (ici /srv/ftp) cela ne fonctionnera pas. Les liens symbolique seront visibles, mais lorsque vos utilisateurs tenteront de naviguer dans des sous dossiers ou télécharger des fichiers l’erreur 550 s’affichera.

Il faudra donc monter ces dossiers dans /srv/ftp via la commande

mount --bind

 

Dans notre exemple voici ce que cela donnerait :

Commençons par créer les dossiers dans lesquels nous monterons nos dossiers partagés

cd /srv/ftp
sudo mkdir docs images videos

 

Montons maintenant nos dossiers

mount --bind /home/utilisateur/images images
mount --bind /media/disk01/videos videos
mount --bind /media/synology/docs

 

Pour que ces partages soient permanents il vous faudra ajouter les entrées suivantes au fichier /etc/fstab

A noter qu’il faudra ajouter l’option _netdev pour chaque mount bind d’une ressource réseau.

## Partage FTP
/home/utilisateur/images images   none bind 0 0  
/media/disk01/videos     videos   none bind 0 0
/media/synology/docs     docs     none _netdev,bind 0 0

 

Cet article Configurer et sécuriser un serveur FTP est apparu en premier sur Noobunbox.

Vous avez compilé votre Kernel, vous l’avez installé mais voilà comment effectuer une mise à jour kernel sans reboot ? C’est très simple, il vous suffit d’utiliser kexec.

 

Mise à jour Kernel sans reboot

Kexec vous permet de bypasser la phase d’amorçage du système, il charge directement le nouveau Kernel en mémoire et l’exécute.

 

Pour installer kexec lancez la commande suivante :

sudo apt-get install kexec-tools

 

Maintenant pour lancer la mise à jour Kernel sans reboot, exécutons la commande suivante

sudo systemctl kexec

 

Votre session SSH va couper, re-lancez la et vérfiez la version du Kernel via la commande

uname -r

 

Pour effectuer un reboot « normal » il faudra désormais utiliser la commande

coldreboot

 

 

Cet article Mise à jour Kernel sans reboot est apparu en premier sur Noobunbox.