Aller au contenu
0 Votes

Modifications pour le document Réseau et Sécurité

Modifié par john le 2026/09/20 19:49
Depuis la version 1.1
modifié par john
sur 2025/05/24 23:47
Commentaire de modification : Imported from XAR
À la version 2.1
modifié par john
sur 2026/09/20 19:49
Commentaire de modification : Il n'y a aucun commentaire pour cette version

Résumé

Détails

Propriétés de la Page
Contenu
... ... @@ -1,5 +3,3 @@
1 -= Réseau & Sécurité =
2 -
3 3  {{toc/}}
4 4  
5 5  Cette section regroupe mes notes et scripts autour de la configuration réseau et du durcissement de la sécurité sous Linux. On y trouve des astuces pratiques, des configurations types, et des outils que j’utilise pour protéger mes machines, superviser les accès, et limiter les failles.
... ... @@ -6,7 +6,7 @@
6 6  
7 7  == nftables : pare-feu moderne ==
8 8  
9 -Remplaçant d’iptables, `nftables` permet de gérer un pare-feu de manière claire et structurée.
7 +Remplaçant d’iptables, ##nftables## permet de gérer un pare-feu de manière claire et structurée.
10 10  
11 11  === Exemple de configuration minimale ===
12 12  
... ... @@ -19,18 +19,30 @@
19 19  {{/code}}
20 20  
21 21  Cela permet de :
22 -- Bloquer tout par défaut
23 -- Autoriser les connexions déjà établies
24 -- Permettre l'accès SSH
25 25  
21 +* Bloquer tout par défaut
22 +* Autoriser les connexions déjà établies
23 +* Permettre l'accès SSH
24 +
26 26  Pour lister les règles :
27 -{{code language="bash"}}sudo nft list ruleset{{/code}}
28 28  
27 +{{code language="bash"}}
28 +sudo nft list ruleset
29 +{{/code}}
30 +
31 +{{warning}}
32 +Ces règles ne survivent pas au redémarrage. Les enregistrer avec ##sudo nft list ruleset > /etc/nftables.conf## et activer ##nftables.service##. Créer la chaîne avec ##policy drop## avant d'autoriser SSH coupe la session en cours : préparer toutes les règles dans un fichier, puis les appliquer en une fois.
33 +{{/warning}}
34 +
35 +{{info}}
36 +Docker crée et gère ses propres règles de pare-feu : les conteneurs dont un port est publié restent joignables même si la politique par défaut est ##drop##. Pour ne pas exposer un service, ne pas publier son port plutôt que compter sur le pare-feu.
37 +{{/info}}
38 +
29 29  == dnsmasq : serveur DNS/DHCP local ==
30 30  
31 -`dnsmasq` est un petit démon pratique pour créer un serveur DNS et DHCP léger.
41 +##dnsmasq## est un petit démon pratique pour créer un serveur DNS et DHCP léger.
32 32  
33 -=== Exemple de configuration `/etc/dnsmasq.conf` ===
43 +=== Exemple de configuration ##/etc/dnsmasq.conf## ===
34 34  
35 35  {{code language="text"}}
36 36  interface=eth0
... ... @@ -48,35 +48,53 @@
48 48  
49 49  === Mise en place sous Linux ===
50 50  
51 -1. Installer `libpam-u2f` :
52 -{{code language="bash"}} sudo apt install libpam-u2f
53 - {{/code}}
61 +Installer ##libpam-u2f## :
54 54  
55 -2. Enregistrer la clé :
56 -{{code language="bash"}} pamu2fcfg > ~/.config/u2f_keys
57 - {{/code}}
63 +{{code language="bash"}}
64 +sudo apt install libpam-u2f
65 +{{/code}}
58 58  
59 -3. Modifier `/etc/pam.d/sudo` :
60 -{{code language="bash"}} auth required pam_u2f.so
61 - {{/code}}
67 +Enregistrer la clé :
62 62  
63 -Certaines clés permettent une authentification sans code PIN si configurées en “discouraged verification”. Attention toutefois à l'équilibre sécurité/confort.
69 +{{code language="bash"}}
70 +mkdir -p ~~/.config
71 +pamu2fcfg > ~~/.config/u2f_keys
72 +{{/code}}
64 64  
74 +Modifier ##/etc/pam.d/sudo## :
75 +
76 +{{code language="text"}}
77 +auth required pam_u2f.so
78 +{{/code}}
79 +
80 +Certaines clés permettent une authentification sans code PIN si configurées en « discouraged verification ». Attention toutefois à l'équilibre sécurité/confort.
81 +
82 +{{warning}}
83 +Tester dans un second terminal resté ouvert en root avant de fermer la session : une erreur dans un fichier PAM peut rendre ##sudo## inutilisable. Enregistrer aussi une seconde clé de secours, ou utiliser ##auth sufficient## plutôt que ##required## le temps des essais.
84 +{{/warning}}
85 +
65 65  == Autres idées à approfondir ==
66 66  
67 -- Utilisation de fail2ban pour bloquer les connexions SSH abusives
68 -- Surveillance réseau avec `iftop`, `nethogs`, ou `bmon`
69 -- Partage de connexion avec `iptables` ou `nft`
70 -- Protection système via `sysctl` : désactiver IP forwarding, limiter ICMP, etc.
88 +* Utilisation de fail2ban pour bloquer les connexions SSH abusives
89 +* Surveillance réseau avec ##iftop##, ##nethogs##, ou ##bmon##
90 +* Partage de connexion avec ##nft##
91 +* Protection système via ##sysctl## : désactiver IP forwarding, limiter ICMP, etc.
71 71  
72 72  == Liens utiles ==
73 73  
74 -* [wiki.nftables.org](https://wiki.nftables.org)
75 -* [dnsmasq manpage](https://thekelleys.org.uk/dnsmasq/doc.html)
76 -* [Guide FIDO2 pam_u2f](https://developers.yubico.com/pam-u2f/)
95 +* [[wiki.nftables.org>>https://wiki.nftables.org]]
96 +* [[Documentation dnsmasq>>https://thekelleys.org.uk/dnsmasq/doc.html]]
97 +* [[Guide FIDO2 pam_u2f>>https://developers.yubico.com/pam-u2f/]]
77 77  
78 78  == Liens internes ==
79 79  
80 80  * [[Retour à l’accueil>>doc:Wiki Batcave John.WebHome]]
81 -* [[Retour à TutoLinux>>doc:Wiki Batcave John.TutosLinux.WebHome]]
102 +* [[Retour à Tutos Linux>>doc:Wiki Batcave John.TutosLinux.WebHome]]
82 82  * [[Fail2ban>>doc:.Fail2ban.WebHome]]
104 +* [[Durcissement Linux>>doc:Wiki Batcave John.TutosLinux.Durcissement.WebHome]]
105 +
106 +----
107 +
108 +== Toutes les pages ==
109 +
110 +{{children/}}