Modifications pour le document Réseau et Sécurité

Résumé

• Propriétés de la Page (1 modifications, 0 ajouts, 0 suppressions)

Détails

Propriétés de la Page

Contenu

...	...	@@ -1,3 +1,5 @@
	1	+= Réseau & Sécurité =
	2	+
1	1	{{toc/}}
2	2
3	3	Cette section regroupe mes notes et scripts autour de la configuration réseau et du durcissement de la sécurité sous Linux. On y trouve des astuces pratiques, des configurations types, et des outils que j’utilise pour protéger mes machines, superviser les accès, et limiter les failles.
...	...	@@ -4,7 +4,7 @@
4	4
5	5	== nftables : pare-feu moderne ==
6	6
7		-Remplaçant d’iptables, ##nftables## permet de gérer un pare-feu de manière claire et structurée.
	9	+Remplaçant d’iptables, `nftables` permet de gérer un pare-feu de manière claire et structurée.
8	8
9	9	=== Exemple de configuration minimale ===
10	10
...	...	@@ -17,30 +17,18 @@
17	17	{{/code}}
18	18
19	19	Cela permet de :
	22	+- Bloquer tout par défaut
	23	+- Autoriser les connexions déjà établies
	24	+- Permettre l'accès SSH
20	20
21		-* Bloquer tout par défaut
22		-* Autoriser les connexions déjà établies
23		-* Permettre l'accès SSH
24		-
25	25	Pour lister les règles :
	27	+{{code language="bash"}}sudo nft list ruleset{{/code}}
26	26
27		-{{code language="bash"}}
28		-sudo nft list ruleset
29		-{{/code}}
30		-
31		-{{warning}}
32		-Ces règles ne survivent pas au redémarrage. Les enregistrer avec ##sudo nft list ruleset > /etc/nftables.conf## et activer ##nftables.service##. Créer la chaîne avec ##policy drop## avant d'autoriser SSH coupe la session en cours : préparer toutes les règles dans un fichier, puis les appliquer en une fois.
33		-{{/warning}}
34		-
35		-{{info}}
36		-Docker crée et gère ses propres règles de pare-feu : les conteneurs dont un port est publié restent joignables même si la politique par défaut est ##drop##. Pour ne pas exposer un service, ne pas publier son port plutôt que compter sur le pare-feu.
37		-{{/info}}
38		-
39	39	== dnsmasq : serveur DNS/DHCP local ==
40	40
41		-##dnsmasq## est un petit démon pratique pour créer un serveur DNS et DHCP léger.
	31	+`dnsmasq` est un petit démon pratique pour créer un serveur DNS et DHCP léger.
42	42
43		-=== Exemple de configuration ##/etc/dnsmasq.conf## ===
	33	+=== Exemple de configuration `/etc/dnsmasq.conf` ===
44	44
45	45	{{code language="text"}}
46	46	interface=eth0
...	...	@@ -58,53 +58,35 @@
58	58
59	59	=== Mise en place sous Linux ===
60	60
61		-Installer ##libpam-u2f## :
	51	+1. Installer `libpam-u2f` :
	52	+{{code language="bash"}} sudo apt install libpam-u2f
	53	+ {{/code}}
62	62
63		-{{code language="bash"}}
64		-sudo apt install libpam-u2f
65		-{{/code}}
	55	+2. Enregistrer la clé :
	56	+{{code language="bash"}} pamu2fcfg > ~/.config/u2f_keys
	57	+ {{/code}}
66	66
67		-Enregistrer la clé :
	59	+3. Modifier `/etc/pam.d/sudo` :
	60	+{{code language="bash"}} auth required pam_u2f.so
	61	+ {{/code}}
68	68
69		-{{code language="bash"}}
70		-mkdir -p ~~/.config
71		-pamu2fcfg > ~~/.config/u2f_keys
72		-{{/code}}
	63	+Certaines clés permettent une authentification sans code PIN si configurées en “discouraged verification”. Attention toutefois à l'équilibre sécurité/confort.
73	73
74		-Modifier ##/etc/pam.d/sudo## :
75		-
76		-{{code language="text"}}
77		-auth required pam_u2f.so
78		-{{/code}}
79		-
80		-Certaines clés permettent une authentification sans code PIN si configurées en « discouraged verification ». Attention toutefois à l'équilibre sécurité/confort.
81		-
82		-{{warning}}
83		-Tester dans un second terminal resté ouvert en root avant de fermer la session : une erreur dans un fichier PAM peut rendre ##sudo## inutilisable. Enregistrer aussi une seconde clé de secours, ou utiliser ##auth sufficient## plutôt que ##required## le temps des essais.
84		-{{/warning}}
85		-
86	86	== Autres idées à approfondir ==
87	87
88		-* Utilisation de fail2ban pour bloquer les connexions SSH abusives
89		-* Surveillance réseau avec ##iftop##, ##nethogs##, ou ##bmon##
90		-* Partage de connexion avec ##nft##
91		-* Protection système via ##sysctl## : désactiver IP forwarding, limiter ICMP, etc.
	67	+- Utilisation de fail2ban pour bloquer les connexions SSH abusives
	68	+- Surveillance réseau avec `iftop`, `nethogs`, ou `bmon`
	69	+- Partage de connexion avec `iptables` ou `nft`
	70	+- Protection système via `sysctl` : désactiver IP forwarding, limiter ICMP, etc.
92	92
93	93	== Liens utiles ==
94	94
95		-* [[wiki.nftables.org>>https://wiki.nftables.org]]
96		-* [[Documentation dnsmasq>>https://thekelleys.org.uk/dnsmasq/doc.html]]
97		-* [[Guide FIDO2 pam_u2f>>https://developers.yubico.com/pam-u2f/]]
	74	+* [wiki.nftables.org](https://wiki.nftables.org)
	75	+* [dnsmasq manpage](https://thekelleys.org.uk/dnsmasq/doc.html)
	76	+* [Guide FIDO2 pam_u2f](https://developers.yubico.com/pam-u2f/)
98	98
99	99	== Liens internes ==
100	100
101	101	* [[Retour à l’accueil>>doc:Wiki Batcave John.WebHome]]
102		-* [[Retour à Tutos Linux>>doc:Wiki Batcave John.TutosLinux.WebHome]]
	81	+* [[Retour à TutoLinux>>doc:Wiki Batcave John.TutosLinux.WebHome]]
103	103	* [[Fail2ban>>doc:.Fail2ban.WebHome]]
104		-* [[Durcissement Linux>>doc:Wiki Batcave John.TutosLinux.Durcissement.WebHome]]
105		-
106		-----
107		-
108		-== Toutes les pages ==
109		-
110		-{{children/}}