Linux Server Wiki - Contributions [fr]

ZFS

2026-11-01T09:34:13Z

Pfoo :

[[Category:serveur]]
[[Category:debian]]
[[Category:raid]]

=Recommandation de mémoire=
Un calcul efficace est de 4GB de mémoire + 1GB de mémoire pour chaque TB d'espace disque alloué au pool ZFS.

Pour 4GB de mémoire allloué à ARC :
<pre>
#$ echo "$[4 * 1024*1024*1024]" > /sys/module/zfs/parameters/zfs_arc_max
#$ echo "options zfs zfs_arc_max=$[4 * 1024*1024*1024]" >> /etc/modprobe.d/zfs.conf
</pre>

=Création d'un pool en RAID-10=
<pre>
# zpool create -f -o ashift=12 main mirror /dev/sda4 /dev/sdb4 mirror /dev/sdc4 /dev/sdd4
# zfs create main/vms
# zfs set canmount=off main/vms
# zfs set canmount=off main
</pre>

Si vous êtes sur SSD :
<pre>
#$ zpool set autotrim=on main
</pre>

=Utiliser les WWN=
<pre>
sed -i 's/^#ZPOOL_IMPORT_PATH=/ZPOOL_IMPORT_PATH=/' /etc/default/zfs
zpool export <poolname>
zpool import -d /dev/disk/by-id/ <poolname>
</pre>

=Commandes utiles=

<pre>
#$ zfs get canmount
#$ zfs get compression
#$ zfs get dedup
</pre>

<pre>
#$ zfs list
#$ zpool list
#$ zpool status
#$ zpool iostat
</pre>

<pre>
#$ arcstat
#$ arc_summary
</pre>

<pre>
#$ zpool scrub main
#$ zpool scrub -s main
#$ zpool scrub -p main
</pre>

=Remplacement d'un disque défectueux=

<pre>
#$ zpool status storage
NAME STATE READ WRITE CKSUM
storage ONLINE 0 0 0
raidz1-0 ONLINE 0 0 0
sda3 ONLINE 0 0 0
sdb3 ONLINE 0 0 0
sdc3 ONLINE 0 0 0
</pre>

<pre>
#$ zpool offline storage /dev/sdc3
#$ zpool status storage
NAME STATE READ WRITE CKSUM
storage DEGRADED 0 0 0
raidz1-0 DEGRADED 0 0 0
sda3 ONLINE 0 0 0
sdb3 ONLINE 0 0 0
sdc3 OFFLINE 0 0 0
</pre>

Remplacez le disque physique sdc

Formater le nouveau disque (sdc) à l'identique, par exemple ici avec sgdisk (pour partition GPT) :
<pre>
#$ sgdisk --replicate=/dev/sdc /dev/sda
#$ sgdisk --randomize-guids /dev/sdc
</pre>

Ajoutez le nouveau disque :
<pre>
#$ zpool replace storage /dev/sdc3
</pre>

<pre>
#$ zpool status storage
NAME STATE READ WRITE CKSUM
storage DEGRADED 0 0 0
raidz1-0 DEGRADED 0 0 0
sda3 ONLINE 0 0 0
sdb3 ONLINE 0 0 0
replacing-2 DEGRADED 0 0 0
sdc3/old OFFLINE 0 0 0
sdc3 ONLINE 0 0 0
</pre>

Unattended upgrades

2026-10-18T13:36:31Z

Pfoo :

[[Category:Serveur]]
[[category:Security]]
[[category:apt]]

<pre>
apt install unattended-upgrades
dpkg-reconfigure unattended-upgrades
echo 'APT::Periodic::Unattended-Upgrade-Time "3";' >> /etc/apt/apt.conf.d/20auto-upgrades
echo 'APT::Periodic::RandomSleep "60";' >> /etc/apt/apt.conf.d/20auto-upgrades
sed -i 's|^//Unattended-Upgrade::MailReport "on-change";$|Unattended-Upgrade::MailReport "on-change";|' /etc/apt/apt.conf.d/50unattended-upgrades
sed -i "s|^//Unattended-Upgrade::Mail \"\";$|Unattended-Upgrade::Mail \"root@$(hostname -f)\";|" /etc/apt/apt.conf.d/50unattended-upgrades
</pre>

Exemple de configuration pour proxmox backup server :
<pre>
// Proxmox
"origin=Proxmox,codename=${distro_codename},label=Proxmox Backup System Debian Repository";
</pre>

Exemple de configuration pour proxmox VE :
<pre>
// Proxmox
"origin=Proxmox,codename=${distro_codename},label=Proxmox Debian Repository";
</pre>

Exemple de configuration pour zabbix :
<pre>
// Zabbix
"origin=Zabbix,codename=${distro_codename},label=zabbix";
</pre>

Exemple de configuration pour docker :
<pre>
// docker
"origin=Docker,archive=${distro_codename},component=stable"
</pre>

=Redémarrage automatique des services=
Dans le fichier <code>/etc/needrestart/needrestart.conf</code> définissez <code>$nrconf{restart} = 'a';</code> :
<pre>sed -i "s/^#\$nrconf{restart} = 'i';/\$nrconf{restart} = 'a';/" /etc/needrestart/needrestart.conf</pre>

==Forcer le mode interactif quand vous êtes en shell bash==
Ajoutez dans <code>~/.bashrc</code> :
<pre>export NEEDRESTART_MODE='i'</pre>

Proxmox 8

2026-10-09T11:12:24Z

Pfoo : /* Installation de proxmox - Vérifications finales et redémarrage sur le kernel proxmox */

[[Category:serveur]]
[[Category:debian]]
[[Category:virtualisation]]

Nous allons voir comment installer proxmox 8.x sur un raid 1 logiciel (md / mdadm) avec debootstrap.

=Prérequis=

Ce tutoriel se base sur l'utilisation de debootstrap pour installer une base de système d'exploitation debian. La plupart des hébergeurs proposent un système de "rescue" permettant l'installation de debian par ce moyen.
Si vous ne disposez pas de mode rescue, vous pouvez toujours utiliser l'installeur proposé par votre hébergeur, ou encore passer par un kvm pour installer vous même le système avec l'iso de debian.

=Pour les débutants=

Si vous êtes débutant en administration linux, je vous conseil de sauvegarder quelque part les fichier suivant issu d'une précédente installation de debian ou de proxmox
* <code>/etc/networks</code>
* <code>/etc/network/interfaces</code>
* <code>/etc/resolv.conf</code>
* <code>/etc/hosts</code>
* <code>/etc/fstab</code>
* <code>/etc/mdadm/mdadm.conf</code> si vous disposez d'un raid logiciel
* tout fichier de personnalisation de grub (<code>/etc/grub.d/</code> par exemple)

Cela vous permettra de vous faire une idée plus précise de ce qui doit figurer dans ces différents fichiers.

=Partitionnement et système de fichier=

Voici le partitionnement que je vais utiliser :
* Partition root (/) de 20 Go (/) en raid 1 sur les disques sda et sdb
* Partitions swap de 4096 Go chacune réparties sur sda et sdb
* Le reste de l'espace sera utilisé plus tard pour un LVM dédié aux VMs

==Partitionnement==

===Possibilité 1 : Partitionnement GPT pour EFI / UEFI===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions EFI (ESP), obligatoire pour le démarrage EFI/UEFI. Il faudra leur attribuer le type <code>EF00</code>. Pour assurer une bonne compatibilité avec les multiples firmwares EFI, il est recommandé de leur attribuer une taille de 512 MiB (+512M au prompt gdisk).
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

 

Pour les partitions EFI, nous créons un système de fichier FAT32 avec le label (nom) <code>EFI_SYSPART</code> :
<pre>
mkfs.fat -F 32 -n EFI_SYSPART /dev/sda1
mkfs.fat -F 32 -n EFI_SYSPART /dev/sdb1
</pre>

===Possibilité 2 : Partitionnement GPT pour BIOS===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions pour le bootloader. Il faudra leur attribuer le type <code>EF02</code>. On peut la créer idéalement du secteur 34 au secteur 2047 du disque.
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

Notez que la partition du bootloader ne doit pas être formatée.

===Possibilité 3 : partitionnement MBR pour BIOS (non prise en charge dans ce wiki)===

A titre informatif : création avec <code>parted</code>, sans nécessité de créer une partition dédiée au bootloader/grub.

==Création du RAID==

Pour des raisons esthétiques, définissez l'hostname de votre système de rescue :
<pre>hostname proxmox</pre>

Pour créer votre raid 1 avec 2 disques :
<pre>
mdadm --create --verbose /dev/md2 --level=1 --raid-devices=2 /dev/sda2 /dev/sdb2
</pre>

Notez que si vous souhaitez utiliser plus que 2 disques, il faut augmenter la valeur de <code>--raid-devices</code> et ajouter les partitions des disques à la suite.

Attendez que le raid soit synchronisé avant de continuer. Vous pouvez surveiller facilement cela avec la commande <code>watch cat /proc/mdstat</code>.

==Création des systèmes de fichiers==

Créez un système de fichier ext4 pour le raid du root :
<pre>
mkfs.ext4 /dev/md2
</pre>

Enfin, initialisez les swaps :
<pre>
mkswap /dev/sda3
mkswap /dev/sdb3
</pre>

=Installation de proxmox=

==Installation du système de base==

Nous débutons par installer le système de base de Debian avec <code>debootstrap</code>

Installez les paquets nécessaires dans votre rescue :
<pre>apt install debootstrap debian-keyring debian-archive-keyring</pre>

Montez votre partition raid root sur <code>/mnt</code> :
<pre>
mount /dev/md2 /mnt
</pre>

Installez le système de base debian, version bookworm :
<pre>debootstrap --arch=amd64 bookworm /mnt http://ftp.fr.debian.org/debian</pre>

==Configuration de Debian==

Montez les vfs suivants, puis chrootez dans votre nouveau système debian :
<pre>
mount -o bind /proc /mnt/proc
mount -o bind /dev /mnt/dev
mount -o bind /dev/pts /mnt/dev/pts
mount -o bind /sys /mnt/sys
mount -o bind /sys/firmware/efi/efivars /mnt/sys/firmware/efi/efivars
chroot /mnt
</pre>

Configurez les archives apt : éditez le fichier <code>/etc/apt/sources.list</code> :
<pre>
# main archive
deb http://deb.debian.org/debian/ bookworm main contrib non-free non-free-firmware
deb-src http://deb.debian.org/debian/ bookworm main contrib non-free non-free-firmware

# security updates
deb http://security.debian.org/debian-security bookworm-security main contrib non-free non-free-firmware
deb-src http://security.debian.org/debian-security bookworm-security main contrib non-free non-free-firmware

# bookworm-updates, previously known as 'volatile'
deb http://deb.debian.org/debian/ bookworm-updates main contrib non-free non-free-firmware
deb-src http://deb.debian.org/debian/ bookworm-updates main contrib non-free non-free-firmware

# backports archive
deb http://deb.debian.org/debian bookworm-backports main contrib non-free non-free-firmware
deb-src http://deb.debian.org/debian bookworm-backports main contrib non-free non-free-firmware
</pre>

Mettez à jour les paquets :
<pre>
apt update
apt full-upgrade
</pre>

Installez les locales et la configuration de console :
<pre>
apt install locales
dpkg-reconfigure locales
apt install console-data console-setup-linux console-setup wget
dpkg-reconfigure console-data # from arch > french > latin9)
</pre>

Définissez la zone horaire :
<pre>
tzselect
dpkg-reconfigure tzdata
</pre>

Configurez votre fichier <code>/etc/fstab</code>. 
Pour GPT pour EFI / UEFI :
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda1 /boot/efi vfat defaults 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

Pour GPT pour BIOS :
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

Montez la partition EFI / ESP dans le cas d'un partitionnement GPT pour EFI / UEFI :
<pre>
mkdir /boot/efi
mount /boot/efi
</pre>

Configurez les interfaces réseaux dans <code>/etc/network/interfaces</code> :
<pre>
# The loopback network interface
auto lo
iface lo inet loopback

auto eno3
iface eno3 inet static
address XXXX/24
gateway XXXX
</pre>

Configurez le fichier <code>/etc/hosts</code> :
<pre>
# local
127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters

# main
ipdelamachine proxmox.domain.tld proxmox pvelocalhost
</pre>

Définissez les hostnames dans ces fichiers :
<pre>
# Pour celui la : non-fqdn
echo proxmox > /etc/hostname
# Pour celui la : fqdn
echo proxmox.domain.tld > /etc/mailname
</pre>

'''ATTENTION''' Le fichier <code>/etc/hosts</code> DOIT être cohérent avec le fichier <code>/etc/hostname</code>. 
Par exemple, si le contenu de <code>/etc/hostname</code> est <code>proxmox</code> et que l'ip de votre proxmox est 225.182.54.9 il faudra veiller a avoir les informations suivantes dans <code>/etc/hosts</code> :
<pre>
127.0.0.1 localhost
225.182.54.9 proxmox.domain.tld proxmox pvelocalhost
</pre>

'''Attention : n'utilisez pas 127.0.1.1 (comme le fait debian) mais bien la vrai ip (ici 225.182.54.9)'''

N'oubliez pas de configurer les dns (ceux de votre hébergeur dédié) dans <code>/etc/resolv.conf</code> :
<pre>nameserver XX.XX.XX.XX</pre>

Installez postfix :
<pre>
hostname -F /etc/hostname
apt install postfix
</pre>

Enfin, comme nous installons notre partition de boot sur un raid software, il faut installer <code>madadm</code> à ce stade :
<pre>apt install mdadm</pre>

Vérifiez si votre array root s'est bien défini automatiquement dans <code>/etc/mdadm/mdadm.conf</code>. Si ce n'est pas me cas, ajoutez la configuration de l'array manuellement :
<pre>mdadm --examine --scan >> /etc/mdadm/mdadm.conf</pre>

==Installation de proxmox - kernel==

Ajoutez le dépot proxmox dans le fichier /etc/apt/source.list :
<pre>
# PVE pve-no-subscription repository provided by proxmox.com, NOT recommended for production use
deb http://download.proxmox.com/debian/pve bookworm pve-no-subscription
</pre>

Ajoutez la clé du dépôt proxmox :
<pre>
wget https://enterprise.proxmox.com/debian/proxmox-release-bookworm.gpg -O /etc/apt/trusted.gpg.d/proxmox-release-bookworm.gpg
</pre>

Mettez à jour le système :
<pre>
apt update
apt full-upgrade
</pre>

===Possibilité 1 : Partitions GPT pour EFI / UEFI===

Vérifiez que <code>/boot/efi</code> est bien monté. Si ce n'est pas le cas, faites le.

Installez le kernel proxmox :
<pre>
apt install pve-firmware
apt install proxmox-default-kernel grub-efi-amd64 gdisk
</pre>

Supprimez les paquets suivant si vous n'avez pas besoin de secureboot :
<pre>apt purge grub-efi-amd64-signed mokutil shim-helpers-amd64-signed shim-signed shim-signed-common shim-unsigned</pre>

Normalement tout doit se faire avec des promps. Si ce n'était pas le cas :
<pre>grub-install --bootloader-id=proxmox</pre>

Si jamais vous utilisez un démarrage en PXE (c'est le cas sur un serveur OVH par exemple), utilisez l'argument <code>--no-nvram</code> pour empêcher grub de mettre à jour la NVRAM et casser votre mécanique de démarrage PXE :
<pre>grub-install --bootloader-id=proxmox --no-nvram</pre>

Etant donné que seul <code>/dev/sda1</code> est monté sur <code>/boot/efi</code>, il faut transférer manuellement les données sur <code>/dev/sdb1</code> :
<pre>
mount /dev/sdb1 /mnt
rsync -av /boot/efi/ /mnt/
umount /mnt
</pre>

Si pour une raison quelconque, vous aviez besoin des headers du kernel :
<pre>apt install pve-headers-5.15</pre>

===Possibilité 2 : Partitions GPT pour BIOS OU Partitions MBR pour BIOS===

<pre>
apt install pve-firmware
apt install proxmox-default-kernel grub-pc gdisk
</pre>

Lorsqu'on vous demandera où installer grub, choisissez <code>sda</code> ET <code>sdb</code>. Sinon :
<pre>
grub-install /dev/sda
grub-install /dev/sdb
</pre>

==Installation de proxmox - OpenSSH==

Installez openssh et définissez un password root. Autorisez le login root par password temporairement.
<pre>
hostname -F /etc/hostname
apt install openssh-server
passwd
sed -i "s/#PermitRootLogin prohibit-password/PermitRootLogin yes/g" /etc/ssh/sshd_config
</pre>

==Installation de proxmox - Vérifications finales et redémarrage sur le kernel proxmox==

Si vous avez une configuration particulière à entrer dans <code>/etc/default/grub</code>, faites le maintenant. Par exemple :
<pre>
GRUB_CMDLINE_LINUX="nomodeset iommu=pt"
</pre>

Puis régénérez la configuration de grub :
<pre>update-grub</pre>

Vous pouvez vérifier que votre fstab est valide avec :
<pre>findmnt --verify --verbose</pre>

Vous pouvez maintenant sortir de votre chroot et démonter le système de fichier

<pre>
umount /boot/efi/
exit
</pre>
<pre>
umount /mnt/sys/firmware/efi/efivars
umount /mnt/sys
umount /mnt/dev/pts
umount /mnt/dev
umount /mnt/proc
umount /mnt
</pre>

Enfin, redémarrez le serveur sur le disque dur.

==Installation de ifupdown2==

Le paquet <code>ifupdown2</code> est en voie de devenir le remplaçant officiel de <code>ifupdown</code> pour proxmox.

<pre>
apt install ifupdown2
apt purge ifupdown
systemctl enable networking
</pre>

Pour vérifier que votre configuration est fonctionnelle : lancez <code>ifquery -a</code>

Redémarrez à nouveau votre serveur

==Installation de proxmox - pve==

Une fois le redémarrage effectué, vous allez enfin pouvoir installer pve :
<pre>apt install proxmox-ve ksm-control-daemon chrony</pre>
<pre>apt remove os-prober</pre>

Editez la configuration réseau <code>/etc/network/interfaces</code> afin d'y créer votre bridge :
<pre>
auto eno3
iface eno3 inet manual

auto vmbr0
iface vmbr0 inet static
address xxxxx/24
gateway xxxx
hwaddress AA:BB:CC:11:22:33
bridge_ports eno3
bridge_stp off
bridge_fd 0
</pre>

Définissez la ligne <code>hwaddress</code> avec l'adresse MAC de l'interface eno3.

Installez votre clé SSH dans <code>/root/.ssh/authorized_keys</code> puis désactivez le login root par password de OpenSSH dans <code>/etc/ssh/sshd_config</code>.
 

Une fois tout installé, je vous conseille de reconfigurer grub afin de mettre à jour la configuration interne de debian:
* Pour EFI : <code>dpkg-reconfigure grub-efi-amd64</code>
* Pour BIOS : <code>dpkg-reconfigure grub-pc</code>

 
Redémarrez une dernière fois pour appliquer les changements.

Votre proxmox sera accessible à l'adresse https://ip:8006

==Nettoyage des paquets==

Si vous ne comptez pas utiliser ZFS, vous pouvez supprimer les paquets suivantes :
<pre>apt purge zfs-zed libnvpair3linux libuutil3linux libzfs4linux libzpool5linux zfsutils-linux</pre>

==Configuration réseau avancée==

===Ajout d'une IPv6 sur vmbr0===

===Ajout d'un réseau interne vmbr1===

Nous allons voir comment créer un réseau interne avec proxmox, c'est à dire, un réseau qui ne sera attaché à aucune interface réseau physique. L'intérêt est d'offrir un débit bien supérieur pour les communications entre les VMs.

Ajoutez les lignes suivantes dans <code>/etc/network/interfaces</code> :

<pre>
auto vmbr1
iface vmbr1 inet static
address 192.168.0.1
netmask 255.255.255.0
</pre>

Note : vous pouvez faire de même en ipv6 :
* il faut utiliser le range Unique Local Address (ULA) fd00::/8 (http://en.wikipedia.org/wiki/Unique_Local_Address)
* pour générer votre ULA : http://pfoo.unscdf.org/ula/gen-ula.html

==Sécurisation de base==

Je vous conseil de commencer à sécuriser votre ssh :
* désactivez le login root (directive <code>PermitRootLogin no</code> dans <code>/etc/ssh/sshd_config</code>). Pensez néanmoins à créer un utilisateur pour vous connecter en ssh avant de désactiver le login root.
* utilisez la directive <code>allowusers <user></code> dans <code>/etc/ssh/sshd_config</code> pour n'autoriser que certains utilisateurs à se connecter en ssh.

Il est aussi préférable d'installer le serveur de temps NTP à la place de systemd-timesyncd:
<pre>
apt install chrony
apt purge systemd-timesyncd
</pre>

=Configurer le serveur mail postfix=

==Configuration==

==Certificats SSL==
Si vous avez votre propre autorité ssl, vous pouvez générer votre propre certificat. Si ce n'est pas le cas, vous pouvez toujours aller lire [http://wiki.unscdf.org/index.php?title=Installation_et_configuration_de_OpenSSL ceci] afin d'apprendre à créer votre autorité ssl.

Ajoutez les lignes suivantes dans <code>/etc/ssl/openssl.cnf</code> :
<pre>
[POSTFIX]
nsComment = "SMTP Server Certificate"
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid,issuer:always
issuerAltName = issuer:copy
basicConstraints = critical,CA:FALSE
keyUsage = critical, digitalSignature, nonRepudiation, keyEncipherment
nsCertType = server
extendedKeyUsage = serverAuth
</pre>

Puis générez la clé et le certificat, et signez le avec votre autorité (int_ca dans mon cas) :
<pre>
openssl req -config /etc/ssl/openssl.cnf -nodes -newkey rsa:2048 -keyout postfix.key -out postfix.req
openssl ca -config /etc/ssl/openssl.cnf -name int_ca -extensions POSTFIX -in postfix.req -out postfix.pem
</pre>

Déplacez les fichiers dans le répertoire <code>/etc/postfix/ssl</code> :
<pre>
mkdir /etc/postfix/ssl
mv postfix.key /etc/postfix/ssl/
mv postfix.pem /etc/postfix/ssl/
chmod 600 /etc/postfix/ssl/*
cat /etc/ssl/root_ca/root_ca.pem /etc/ssl/int_ca/int_ca.pem > /etc/postfix/ssl/ca_chain.pem
</pre>

Il faut encore modifier <code>/etc/postfix/main.cf</code> :
<pre>
smtpd_tls_cert_file=/etc/postfix/ssl/postfix.pem
smtpd_tls_key_file=/etc/postfix/ssl/postfix.key
smtpd_tls_CAfile=/etc/postfix/ssl/ca_chain.pem
smtpd_use_tls=yes
smtp_tls_cert_file=/etc/postfix/ssl/postfix.pem
smtp_tls_key_file=/etc/postfix/ssl/postfix.key
smtp_tls_CAfile=/etc/postfix/ssl/ca_chain.pem

smtpd_tls_security_level=may
smtp_tls_security_level=may
smtpd_tls_loglevel = 1
smtp_tls_loglevel = 1

#smtp_tls_policy_maps = hash:/etc/postfix/tls_policy
</pre>

=Utiliser son propre certificat SSL proxmox avec un signataire intermédiaire=

Depuis Proxmox 5.2, il n'est plus recommandé d'adapter manuellement les fichiers contenant les certificats et clés privés de proxmox. 
Cependant, vous pouvez placer directement votre clé privé dans le fichier <code>/etc/pve/local/pveproxy-ssl.key</code> et la chaîne de certification dans le fichier <code>/etc/pve/local/pveproxy-ssl.pem</code>. Vous pouvez également déposer ces fichiers via la webui de proxmox au niveau de chaque serveur.

Si vous avez endommagé les certificats autogénérés par proxmox (<code>/etc/pve/pve-root-ca.pem</code>, <code>/etc/pve/priv/pve-root-ca.key</code>, <code>/etc/pve/nodes/<node>/pve-ssl.pem</code>, <code>/etc/pve/nodes/<node>/pve-ssl.key</code>), vous pouvez les régénérer avec :
<pre>pvecm updatecerts -f</pre>

=Surveiller l'état des disques avec SMART=

Commencez par installer le paquet smartmontools :
<pre>apt install smartmontools</pre>

Vérifiez que vos disques gèrent smart et qu'il est activé :
<pre>
smartctl -i /dev/sda
smartctl -i /dev/sdb
</pre>

Si smart n'est pas activé, essayez de l'activer comme ceci :
<pre>
smartctl -s on /dev/sda
smartctl -s on /dev/sdb
</pre>

Vérifiez le statut de santé de vos disques :
<pre>
smartctl -H /dev/sda
smartctl -H /dev/sdb
</pre>
S'il indique <code>PASSED</code> c'est bon de ce côté. S'il vous indique <code>FAILED</code>, sauvegardez immédiatement vos données !

Vérifiez la présence d'erreurs dans le log smart :
<pre>
smartctl -l error /dev/sda
smartctl -l error /dev/sdb
</pre>

Si vous voyez <code>No Errors Logged</code> ou quelques erreurs, c'est bon. S'il y eu a beaucoup, il faut envisager de changer le disque.

Le fichier de configuration de smartd est <code>/etc/smartd.conf</code>. Commentez la ligne <code>DEVICESCAN</code> puis ajoutez les lignes suivantes pour surveiller les deux disques durs :
<pre>
/dev/sda -a -o on -S on -s (S/../.././02|L/../../6/03) -m vous@domain.tld
/dev/sdb -a -o on -S on -s (S/../.././02|L/../../6/03) -m vous@domain.tld
</pre>

Nous activons la surveillance globale (<code>-a</code>), la vérification automatique offline, (<code>-o on</code>), la sauvegarde automatique des attributs (<code>-S on</code> et lançons un <code>short self test</code> tous les jours à 2h du matin, et un <code>long self test</code> tous les samedi à 3h du matin. Si des erreurs sont détectés, un email est envoyé à vous@domain.tld. 

Relancez smartd :
<pre>/etc/init.d/smartmontools restart</pre>

Pour plus d'information sur SMART et ses arguments : [[Diagnostic smart d'un disque]]

=Protégez votre proxmox=

==Désactiver le login root sur l'interface proxmox==
Avant toute manipulation, n'oubliez pas de créer un utilisateur ayant les droits d'administration pour accéder à l'interface de proxmox

===Via l'interface proxmox===
Dans Datacenter > Permissions > Users : Editez l'utilisateur root et décochez la case <code>Enabled</code>

===Via les droits linux===
<pre>passwd --lock root</pre>

Attention, dans ce cas, vous ne pourrez plus vous loguer en root sur le serveur par ssh (sauf si vous avez une clé ssh défini), écran ou kvm !

===Via PAM===
Vous pouvez désactiver le login pam en éditant <code>/etc/pam.d/other</code> et en y ajoutant, en début de fichier, les lignes suivantes :
<pre>
auth required pam_deny.so
auth required pam_warn.so
account required pam_deny.so
account required pam_warn.so
</pre>

Attention, cette méthode peut avoir des effets de bord si d'autres programmes utilisent l'entité pam/other

==Désactiver rpcbind==

Si vous n'utilisez pas de montage NFS vous pouvez désactiver rpcbind. 
Editez <code>/etc/default/nfs-common</code> et passez l'argument suivant :
<pre>NEED_STATD=no</pre>

Puis désactivez rpcbind :
<pre>
systemctl disable rpcbind.target
systemctl disable rpcbind.socket
systemctl disable rpcbind.service
systemctl stop rpcbind.target
systemctl stop rpcbind.socket
systemctl stop rpcbind.service
</pre>

==Eviter les reboots accidentels avec molly-gard==
<pre>apt install molly-guard</pre>

==Protection SSH avec sshguard==

[[Protéger SSH avec sshguard]]

==Protéger l'interface web avec fail2ban==

<pre>apt install fail2ban</pre>

Créez le fichier <code>/etc/fail2ban/jail.local</code> contenant :
<pre>
[DEFAULT]
# "ignoreip" can be an IP address, a CIDR mask or a DNS host
ignoreip = 127.0.0.1
bantime = 1800
maxretry = 3

#
# Destination email address used solely for the interpolations in
# jail.{conf,local} configuration files.
destemail = root@localhost

action = %(action_mwl)s

[ssh]
enabled = false

[sshd]
enabled = false

[proxmox]
enabled = true
port = https,http,8006
filter = proxmox
backend = systemd
maxretry = 4
findtime = 2d
bantime = 1h
</pre>

Créez le fichier <code>/etc/fail2ban/filter.d/proxmox.conf</code> :
<pre>
[Definition]
failregex = pvedaemon\[.*authentication failure; rhost=<HOST> user=.* msg=.*
ignoreregex =
journalmatch = _SYSTEMD_UNIT=pvedaemon.service
</pre>

Relancez fail2ban :
<pre>/etc/init.d/fail2ban restart</pre>

==firewall iptables==

=Création d'un stockage pour les VMs=

Créez les partitions sda4 et sdb4 au moyen de gdisk (EFI) ou parted (BIOS).

Créez sur ces partitions un raid :
<pre>mdadm --create --verbose /dev/md4 --level=1 --raid-devices=2 /dev/sda4 /dev/sdb4</pre>

Maintenez à jour <code>mdadm.conf</code> et votre initramfs afin de conserver le bon naming du raid après reboot :
<pre>
mdadm --examine --scan >> /etc/mdadm/mdadm.conf
update-initramfs -u
</pre>

Puis initialisez-y un LVM :
<pre>
pvcreate /dev/md4
vgcreate main /dev/md4
</pre>

Il ne reste plus qu'a déclarer ce Volume Group LVM dans l'interface proxmox.

=VM qemu/kvm=

==Télécharger vos images==

Vous pouvez placer les iso dans <code>/var/lib/vz/template/iso/</code> avec <code>wget</code> par exemple.
Notez que l'interface graphique de proxmox propose également une fonction d'upload.

==Créer votre première VM==

Une fois la VM crées dans l'interface proxmox, je vous recommande d'écrire des zero sur son disque afin de réduire la taille des futurs backups. Si votre vm porte le numéro 100 et possède un seul disque :
<pre>dd if=/dev/zero | pv -ptrb | dd of=/dev/main/vm-100-disk1 bs=1M</pre>

===Configuration réseau en bridge vmbr0 (ip public)===

===Configuration réseau en bridge vmbr1 (ip locale)===

Configuration réseau de la VM :
<pre>
iface eth0 inet static
address 192.168.0.2
netmask 255.255.255.0
gateway 192.168.0.1
</pre>

Règle iptables à ajouter sur l'hôte :
<pre>iptables -t nat -A POSTROUTING -s 192.168.0.2 -o vmbr0 -j SNAT --to IP-PUBLIC-DE-VOTRE-HOTE</pre>

Si vous souhaitez rendre accessible l'un des services de la VM depuis l'ip de l'hote sur un port sépcifique :
<pre>
iptables -t nat -A PREROUTING -p tcp -d <ip de l'hote> --dport <port souhaité> -i vmbr0 -j DNAT --to-destination 192.168.0.2:port
</pre>

==Bloquer le spoofing d'adresse mac==
Sur l'hyperviseur, installez <code>ebtables</code> :
<pre>apt install ebtables</pre>

Admettons ensuite que votre VM a comme adresse ip <code>84.93.26.3</code> et que son adresse mac doit être <code>52:54:00:00:98:b6</code> :
<pre>ebtables -A FORWARD -p IPv4 --ip-src 84.93.26.3 -s ! 52:54:00:00:98:b6 -j DROP</pre>

Vous pouvez faire de même pour l'ipv6. Dans l'exemple suivant, seul le bloc ipv6 <code>2a01:d4h:123b:100::/56</code> est utilisable par la vm :
<pre>ebtables -A FORWARD -p IPv6 --ip6-src 2a01:d4h:123b:100::/56 -s ! 52:54:00:00:08:b1 -j DROP</pre>

==Importer une VM depuis vmware ESXi==

==qm et modification des VMs en ligne de commande==

==Monter les partitions d'une VM depuis l'host==

<pre>
# losetup /dev/loop0 /dev/main/vm-101-disk-1
# fdisk -lu /dev/loop0

Disk /dev/loop0: 10.7 GB, 10737418240 bytes
255 heads, 63 sectors/track, 1305 cylinders, total 20971520 sectors
Units = sectors of 1 * 512 = 512 bytes
Disk identifier: 0x0002f94d

Device Boot Start End Blocks Id System
/dev/loop0p1 * 2048 20013055 10005504 83 Linux
/dev/loop0p2 20015102 20969471 477185 5 Extended
/dev/loop0p5 20015104 20969471 477184 82 Linux swap / Solaris
</pre>

pour la partition 1 : start*blocksize = offset
donc 2048*512 = 1048576

<pre>losetup /dev/loop1 -o 1048576 /dev/main/vm-101-disk-1 </pre>

Et enfin :
<pre>mount /dev/loop1 /mnt</pre>

Quand vous avez terminé vos modifications :
<pre>
umount /mnt
losetup -d /dev/loop1
losetup -d /dev/loop0
</pre>

===Si la partition que vous voulez monter est un LVM===

Scannez les nouveaux volumes :
<pre>lvm pvscan</pre>

Activez les groupes :
<pre>lvm vgchange -ay</pre>

listez les lvms avec :
<pre>lvm lvs</pre>

Les LV devraient apparaître dans <code>/dev/mapper/</code>

Quand vous avez terminé :
* démontez les LV
* Désactivez le groupe avec <code>vgchange -an</code>
* désactivez le loopback : <code>losetup -d /dev/loop0</code>

==Augmenter la taille du disque d'une VM==

Coupez la VM.

Sur l'host pour modifier la taille du disque 1 de la vm 110 ) 140G :
<pre>lvextend -L 140G /dev/main/vm-110-disk-1</pre>

Il faut ensuite, sur la vm lancée, utiliser resize2fs

==Migrer une VM vers un autre serveur manuellement (pas de cluster) avec un downtime minimum==

Nous allons voir comment migrer une VM proxmox stockée sur un LVM d'un serveur à un autre, et ce, en minimisant au maximum le downtime. Pour cela, nous allons coupler la fonctionnalité de snapshot de lvm avec un petit script (lvmsync) qui permet de ne transférer que les blocs modifiés d'un snapshot.

Installez dmsetup et ruby (1.8 minimum) sur le serveur d'origine et de destination :
<pre>apt install dmsetup ruby</pre>

Récupérez <code>lvmsync</code> sur https://github.com/mpalmer/lvmsync et placez le dans /sbin/ sur les serveurs d'origine et de destination.

Dans cet exemple, nous allons migrer la vm 102 disposant d'un seul disque virtuel nommé vm-102-disk-1 et stocké dans le vg main du serveur server1.domain.tld vers le serveur server2.domain.tld.
Pour commencer, créez un snapshot de votre vm sur server1 :
<pre>lvcreate --snapshot -L200G -n 102-lvmsync main/vm-102-disk-1</pre>

Désormais, tous les io de cette vm seront stockés dans le snapshot 102-lvmsync.

Sur votre nouveau serveur, créez une VM identique à celle de votre premier serveur (surtout en qui concerne la taille de disque).
Depuis server1, copiez avec un dd over ssh le disque d'origine de votre vm vers votre nouveau serveur.
<pre>dd if=/dev/main/vm-102-disk-1 | pv -ptrb | ssh -o "Compression no" root@server2.domain.tld "dd of=/dev/main/vm-102-disk-1 bs=100M"</pre>

Note : sur un réseauu 100Mbps utilisez plutôt <code>-o "Compressionlevel 1"</code>

Une fois la copie terminée, coupez la vm 102 sur server1, puis lancez lvmsync sur le snapshot (toujours sur server1) :
<pre>lvmsync /dev/main/102-lvmsync server2.domain.tld:/dev/main/vm-102-disk-1</pre>

Une fois le travail de lvmsync achevé, il ne nous reste plus qu'a relancer la vm sur server2

A titre d'information, si vous voulez merger le snapshot de la vm 102 sur server 1, tapez :
<pre>lvconvert --merge /dev/main/102-lvmsync</pre>

=Conteneur LXC=

==Empêcher la mise à jour automatique de certains fichiers de configuration système du conteneur==

Certains fichiers de configuration du conteneur sont mis à jour automatiquement à chaque démarrage (voir https://pve.proxmox.com/pve-docs/pve-admin-guide.html#_guest_operating_system_configuration)

On peut empêcher la mise à jour de ces fichiers en créant un fichier <code>.pve-ignore.NOM</code> 
Par exemple, <code>/etc/.pve-ignore.resolv.conf</code> empêchera le fichier <code>/etc/resolv.conf</code> d'être mis à jour à chaque démarrage.

=Annexes=

==Problème de layout dans la console vnc==
Dans l'interface web de proxmox : datacenter > option > passez Keyboard de <code>default</code> à <code>French</code>.

==Erreurs du type <code>IPv6 addrconf: prefix with wrong length 56</code> ==

Cette erreur est typique sous linux si les routeurs de votre serveur annoncent des blocs IPv6 /56 alors que vous configurez des /64.
Ajouter les lignes suivantes dans un fichier <code>/etc/sysctl.d/local.conf</code> :
<pre>
net.ipv6.conf.all.autoconf = 0
net.ipv6.conf.default.autoconf = 0
net.ipv6.conf.eno3.autoconf = 0
net.ipv6.conf.vmbr0.autoconf = 0
</pre>

Terminez par relancer procps :
<pre>/etc/init.d/procps restart</pre>

==paramètre sysctl ipv6 non appliqué au boot==
Ajoutez le module ipv6 dans /etc/modules afin d'assurer le chargement d'ipv6 avant l’exécution de sysctl :
<pre>echo ipv6 >> /etc/modules</pre>

==LVM inaccessible depuis l'host==

<pre>
lvm pvscan
lvm vgchange -ay
</pre>

==L'interface web ne fonctionne pas et la commande qm retourne une erreur ipcc_send_rec failed: Connection refused==

Vérifiez la présence de fichiers et dossiers dans <code>/etc/pve/</code>. Si ce dossier est vide, c'est probablement que votre fichier <code>/etc/hosts</code> est mal configuré. 
Essayez de relancer <code>pve-cluster</code> :
<pre>/etc/init.d/pve-cluster restart</pre>

Si vous avez une erreur ou un warning, lancez la commande pmxcfs. Vous devriez obtenir ceci :
<pre>
$# pmxcfs
Jan 21 15:28:19 proxmox pmxcfs[1846]: Unable to get local IP address (pmxcfs.c:721:main)
</pre>

Vérifiez alors que le contenu de <code>/etc/hostname</code> est défini dans <code>/etc/hosts</code>.

Si par exemple <code>/etc/hostname</code> contient <code>proxmox.domain.tld</code> vous devriez avoir la ligne suivante dans <code>/etc/hosts</code> :
<pre>VOTREIP proxmox.domain.tld proxmox</pre>

==Pas assez d'interfaces loopback==

Créer le fichier <code>/etc/modprobe.d/local-loop.conf</code> contenant :
<pre>options loop max_loop=64</pre>

Vous pouvez ensuite redémarrer ou recharger le module loop :
<pre> rmmod loop && modprobe loop</pre>

==Défragmentation LVM : exemple==
<pre>
hub:~# pvdisplay --maps
--- Physical volume ---
PV Name /dev/sda4
VG Name main
PV Size 1.76 TB / not usable 456.00 KB
Allocatable yes
PE Size (KByte) 4096
Total PE 461649
Free PE 208721
Allocated PE 252928
PV UUID PUqV5Q-WRW2-n20t-eFVM-CA1r-RhDl-2RTJHq

--- Physical Segments ---
Physical extent 0 to 7935:
Logical volume /dev/main/vm-101-disk-1
Logical extents 0 to 7935
Physical extent 7936 to 72191:
Logical volume /dev/main/vm-101-disk-2
Logical extents 0 to 64255
Physical extent 72192 to 136703:
Logical volume /dev/main/vm-102-disk-1
Logical extents 0 to 64511
Physical extent 136704 to 144895:
Logical volume /dev/main/vm-103-disk-1
Logical extents 0 to 8191
Physical extent 144896 to 209151:
Logical volume /dev/main/vm-103-disk-2
Logical extents 0 to 64255
Physical extent 209152 to 214271:
Logical volume /dev/main/vm-104-disk-1
Logical extents 0 to 5119
Physical extent 214272 to 227327:
Logical volume /dev/main/vm-104-disk-2
Logical extents 0 to 13055
Physical extent 227328 to 282111:
FREE
Physical extent 282112 to 307711:
Logical volume /dev/main/vm-108-disk-1
Logical extents 0 to 25599
Physical extent 307712 to 461648:
FREE
</pre>

Comme vous pouvez le voir, on a un trou "vide" entre l'extent 227328 et 282111, puis à nouveau des données entre l'extent 282112 et 307711.

Pour combler ce trou, nous allons déplacer les données des /dev/main/vm-108-disk-1 situés entre les extents 282112 et 307711 (soit 25599 extents au total) vers l'espace libre avec <code>pvmove</code> : 
pvmove /dev/sda4:282112-307711 /dev/sda4:227328-252927 --alloc anywhere

Notez qu'il faut attribuer exactement le même nombre d'extents à la destination qu'à l'origine : 227328 + 25599 = 252927

==Oups: j'ai supprimé le mauvais lvm==

Pas de panique, mais ne bougez plus ! Pour l'instant, seul les métadonnées du lvm sont impactés.
Et comme c'est bien foutu, lvm conserve un backup des anciennes metadonnées après chaque modification. Ces archives sont situés dans <code>/etc/lvm/archive/</code>. Les fichiers y sont nommés sous la forme vg_XXXX-YYYYYYY.vg. Normalement, le fichier ayant le XXXX le plus élevé sera celui de l'état précédent votre erreur.
Pour vérifier que vous avez sélectionné le bon fichier, vous pouvez l'ouvrir avec nano et regarder si l'état du lvm dans cette archive correspond a ce que vous attendez.

Pour restaurer l'archive des métadonnées main_00007-587941649.vg pour le vg main :
<pre>
vgcfgrestore -f /etc/lvm/archive/main_00007-587941649.vg main
lvm vgchange -ay
</pre>

Votre volume devrait être de retour.

Il faut encore vérifier que la table de partition contenu sur ce lvm n'a pas morphlé. En admettant que /dev/main/vm-101-disk-1 est la lvm que vous venez de restaurer :
<pre>
# losetup /dev/loop0 /dev/main/vm-101-disk-1
# fdisk -lu /dev/loop0

Disk /dev/loop0: 10.7 GB, 10737418240 bytes
255 heads, 63 sectors/track, 1305 cylinders, total 20971520 sectors
Units = sectors of 1 * 512 = 512 bytes
Disk identifier: 0x0002f94d

Device Boot Start End Blocks Id System
/dev/loop0p1 * 2048 20013055 10005504 83 Linux
/dev/loop0p2 20015102 20969471 477185 5 Extended
/dev/loop0p5 20015104 20969471 477184 82 Linux swap / Solaris
</pre>

Si vous voyez ça, c'est bon, vous êtes sauvés ! Si ce n'est pas le cas, continuez à lire ;)

===Récupération de la table de partition===

Si fdisk vous envois chier avec un message du style <code>Disk /dev/loop0 doesn't contain a valid partition table</code>, il va falloir récupérer la table de partition.

Installez testdisk :
<pre>apt install testdisk</pre>

Lancez le:
<pre>
# losetup /dev/loop0 /dev/main/vm-101-disk-1
# testdisk /dev/loop0
</pre>

Selectionez le media <code>/dev/loop0</code> et validez avec <code>enter</code>.
Au menu suivant, sélectionnez <code>intel</code> comme type de table de partition.
Au menu suivant, sélectionnez <code>analyse</code>
A l'écran suivant, tapez enter.
Avec de la chance, testdisk retrouvera vos partitions. Une fois qu'il aura terminé de travailler, il ne restera plus qu'à taper sur enter encore une fois, puis demander à testdisk de sauvegarder la table de partition

==L'interface proxmox n'affiche pas les disques de certaines VMs==

Ceci arrive typiquement si vous avez créé un volume logique à la main sans y ajouter le bon tag.
Vérifiez la présence des tags sur vos LV avec la commande <code>lvs --options 'vg_name,lv_name,lv_size,tags'</code> :
<pre>
~# lvs --options 'vg_name,lv_name,lv_size,tags'
VG LV LSize LV Tags
main vm-100-disk-1 2.00g pve-vm-100
main vm-101-disk-1 20.00g
</pre>

Comme vous le voyez, le lv de la vm 101 n'est pas tagué. Vous pouvez ajouter le tag avec <code>lvchange --addtag pve-vm-101 /dev/main/vm-101-disk-1</code> :
<pre>
~# lvchange --addtag pve-vm-101 /dev/main/vm-101-disk-1
~# lvs --options 'vg_name,lv_name,lv_size,tags'
VG LV LSize LV Tags
main vm-100-disk-1 2.00g pve-vm-100
main vm-101-disk-1 16.00g pve-vm-101
</pre>

Si cela ne fonctionne pas, essayez de passer un petit coup de <code>qm rescan</code>

Debootstrap

2026-10-09T11:03:12Z

Pfoo : /* Vérifications finales et redémarrage sur le kernel */

[[category:debian]]
[[category:serveur]]
[[Category:trixie]]
Debootstrap permet d'installer une distribution debian sur un point de montage en utilisant une debian en service.

=Prérequis=

Ce tutoriel se base sur l'utilisation de debootstrap pour installer une base de système d'exploitation debian. La plupart des hébergeurs proposent un système de "rescue" permettant l'installation de debian par ce moyen.
Si vous ne disposez pas de mode rescue, vous pouvez toujours utiliser l'installeur proposé par votre hébergeur, ou encore passer par un kvm pour installer vous même le système avec l'iso de debian.

=Pour les débutants=

Si vous êtes débutant en administration linux, je vous conseil de sauvegarder quelque part les fichier suivant issu d'une précédente installation de debian ou de proxmox
* <code>/etc/networks</code>
* <code>/etc/network/interfaces</code>
* <code>/etc/resolv.conf</code>
* <code>/etc/hosts</code>
* <code>/etc/fstab</code>
* <code>/etc/mdadm/mdadm.conf</code> si vous disposez d'un raid logiciel
* tout fichier de personnalisation de grub (<code>/etc/grub.d/</code> par exemple)

Cela vous permettra de vous faire une idée plus précise de ce qui doit figurer dans ces différents fichiers.

=Partitionnement et système de fichier=

Voici le partitionnement que je vais utiliser :
* Partition root (/) de 20 Go (/) en raid 1 sur les disques sda et sdb
* Partitions swap de 4096 Go chacune réparties sur sda et sdb
* Le reste de l'espace sera utilisé plus tard pour un LVM dédié aux VMs

==Partitionnement==

===Possibilité 1 : Partitionnement GPT pour EFI / UEFI===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions EFI (ESP), obligatoire pour le démarrage EFI/UEFI. Il faudra leur attribuer le type <code>EF00</code>. Pour assurer une bonne compatibilité avec les multiples firmwares EFI, il est recommandé de leur attribuer une taille de 512 MiB (+512M au prompt gdisk).
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

 

Pour les partitions EFI, nous créons un système de fichier FAT32 avec le label (nom) <code>EFI_SYSPART</code> :
<pre>
mkfs.fat -F 32 -n EFI_SYSPART /dev/sda1
mkfs.fat -F 32 -n EFI_SYSPART /dev/sdb1
</pre>

===Possibilité 2 : Partitionnement GPT pour BIOS===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions pour le bootloader. Il faudra leur attribuer le type <code>EF02</code>. On peut la créer idéalement du secteur 34 au secteur 2047 du disque.
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

Notez que la partition du bootloader ne doit pas être formatée.

===Possibilité 3 : partitionnement MBR pour BIOS (non prise en charge dans ce wiki)===

A titre informatif : création avec <code>parted</code>, sans nécessité de créer une partition dédiée au bootloader/grub : créez juste la partition root et swap.

==Création du RAID==

Pour des raisons esthétiques, définissez l'hostname de votre système de rescue :
<pre>hostname debian</pre>

Pour créer votre raid 1 avec 2 disques :
<pre>
mdadm --create --verbose /dev/md2 --level=1 --raid-devices=2 /dev/sda2 /dev/sdb2
</pre>

Notez que si vous souhaitez utiliser plus que 2 disques, il faut augmenter la valeur de <code>--raid-devices</code> et ajouter les partitions des disques à la suite.

Attendez que le raid soit synchronisé avant de continuer. Vous pouvez surveiller facilement cela avec la commande <code>watch cat /proc/mdstat</code>.

==Création des systèmes de fichiers==

Créez un système de fichier ext4 pour le raid du root :
<pre>
mkfs.ext4 /dev/md2
</pre>

Enfin, initialisez les swaps :
<pre>
mkswap /dev/sda3
mkswap /dev/sdb3
</pre>

=Installation de debian=

==Installation du système de base==

Nous débutons par installer le système de base de Debian avec <code>debootstrap</code>

Installez les paquets nécessaires dans votre rescue :
<pre>apt install debootstrap debian-archive-keyring</pre>

Montez votre partition raid root sur <code>/mnt</code> :
<pre>
mount /dev/md2 /mnt
</pre>

Installez le système de base debian, version bookworm :
<pre>debootstrap --arch=amd64 --include=openssl,ca-certificates trixie /mnt http://deb.debian.org/debian</pre>

==Configuration de Debian==

Montez les vfs suivants, puis chrootez dans votre nouveau système debian :
<pre>
mount -o bind /proc /mnt/proc
mount -o bind /dev /mnt/dev
mount -o bind /dev/pts /mnt/dev/pts
mount -o bind /sys /mnt/sys
mount -o bind /sys/firmware/efi/efivars /mnt/sys/firmware/efi/efivars
chroot /mnt
</pre>

Configurez les archives apt : éditez le fichier <code>/etc/apt/sources.list.d/debian.sources</code> :
<pre>
# main updates and backports
Types: deb
URIs: https://deb.debian.org/debian
Suites: trixie trixie-updates trixie-backports
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

# security
Types: deb
URIs: https://security.debian.org/debian-security
Suites: trixie-security
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg
</pre>

Mettez à jour les paquets :
<pre>
apt update
apt full-upgrade
</pre>

Installez les locales et la configuration de console :
<pre>
apt install locales
dpkg-reconfigure locales
apt install console-data console-setup-linux console-setup wget
dpkg-reconfigure console-data # from arch > french > latin9)
</pre>

Définissez la zone horaire :
<pre>
tzselect
dpkg-reconfigure tzdata
</pre>

Configurez votre fichier <code>/etc/fstab</code>. 
'''Pour GPT pour EFI / UEFI :'''
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda1 /boot/efi vfat defaults 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

'''Pour GPT ou MBR pour BIOS :'''
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

'''Dans le cas d'un partitionnement GPT pour EFI / UEFI''' : montez la partition EFI / ESP :
<pre>
mkdir /boot/efi
mount /boot/efi
</pre>

Configurez les interfaces réseaux dans <code>/etc/network/interfaces</code> :
<pre>
# The loopback network interface
auto lo
iface lo inet loopback

auto eno3
iface eno3 inet static
address XXXX/24
gateway XXXX
</pre>

Configurez le fichier <code>/etc/hosts</code> :
<pre>
127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
ff02::3 ip6-allhosts

127.0.1.1 debian.domain.tld debian
</pre>

Définissez les hostnames dans ces fichiers :
<pre>
# Pour celui la : non-fqdn
echo debian > /etc/hostname
# Pour celui la : fqdn
echo debian.domain.tld > /etc/mailname
</pre>

N'oubliez pas de configurer les dns (ceux de votre hébergeur dédié) dans <code>/etc/resolv.conf</code> :
<pre>nameserver XX.XX.XX.XX</pre>

Installez postfix :
<pre>
hostname -F /etc/hostname
apt install postfix
</pre>

Enfin, comme nous installons notre partition de boot sur un raid software, il faut installer <code>madadm</code> à ce stade :
<pre>apt install mdadm</pre>

Vérifiez si votre array root s'est bien défini automatiquement dans <code>/etc/mdadm/mdadm.conf</code>. Si ce n'est pas me cas, ajoutez la configuration de l'array manuellement :
<pre>mdadm --examine --scan >> /etc/mdadm/mdadm.conf</pre>

==Installation du kernel==

===Possibilité 1 : Partitions GPT pour EFI / UEFI===

Vérifiez que <code>/boot/efi</code> est bien monté. Si ce n'est pas le cas, faites le.

Installez le kernel proxmox :
<pre>
apt install linux-image-amd64 grub-efi-amd64 gdisk
</pre>

Supprimez les paquets suivant si vous n'avez pas besoin de secureboot :
<pre>apt purge grub-efi-amd64-signed mokutil shim-helpers-amd64-signed shim-signed shim-signed-common shim-unsigned</pre>

Normalement tout doit se faire avec des promps (<code>dpkg-reconfigure grub-efi-amd64</code>). Si ce n'était pas le cas :
<pre>grub-install --bootloader-id=debian</pre>

Si jamais vous utilisez un démarrage en PXE (c'est le cas sur un serveur OVH par exemple), utilisez l'argument <code>--no-nvram</code> pour empêcher grub de mettre à jour la NVRAM et casser votre mécanique de démarrage PXE :
<pre>grub-install --bootloader-id=debian --no-nvram</pre>

Etant donné que seul <code>/dev/sda1</code> est monté sur <code>/boot/efi</code>, il faut transférer manuellement les données sur <code>/dev/sdb1</code> :
<pre>
mount /dev/sdb1 /mnt
rsync -av /boot/efi/ /mnt/
umount /mnt
</pre>

===Possibilité 2 : Partitions GPT pour BIOS OU Partitions MBR pour BIOS===

<pre>
apt install linux-image-amd64 grub-pc gdisk
</pre>

Lorsqu'on vous demandera où installer grub, choisissez <code>sda</code> ET <code>sdb</code>. Sinon :
<pre>
grub-install /dev/sda
grub-install /dev/sdb
</pre>

==Installation de proxmox - OpenSSH==

Installez openssh et définissez votre clé ssh.
<pre>
hostname -F /etc/hostname
apt install openssh-server
echo "votre clé ssh" > /root/.ssh/authorized_keys
</pre>

==Vérifications finales et redémarrage sur le kernel==

Si vous avez une configuration particulière à entrer dans <code>/etc/default/grub</code>, faites le maintenant. Par exemple :
<pre>
GRUB_CMDLINE_LINUX="nomodeset iommu=pt"
</pre>

Puis régénérez la configuration de grub :
<pre>update-grub</pre>

Vous pouvez vérifier que votre fstab est valide avec :
<pre>findmnt --verify --verbose</pre>

Vous pouvez maintenant sortir de votre chroot et démonter le système de fichier

<pre>
umount /boot/efi/
exit
</pre>
<pre>
umount /mnt/sys/firmware/efi/efivars
umount /mnt/sys
umount /mnt/dev/pts
umount /mnt/dev
umount /mnt/proc
umount /mnt
</pre>

'''Enfin, redémarrez le serveur sur le disque dur.'''

Proxmox 8

2026-10-08T11:18:18Z

Pfoo :

[[Category:serveur]]
[[Category:debian]]
[[Category:virtualisation]]

Nous allons voir comment installer proxmox 8.x sur un raid 1 logiciel (md / mdadm) avec debootstrap.

=Prérequis=

Ce tutoriel se base sur l'utilisation de debootstrap pour installer une base de système d'exploitation debian. La plupart des hébergeurs proposent un système de "rescue" permettant l'installation de debian par ce moyen.
Si vous ne disposez pas de mode rescue, vous pouvez toujours utiliser l'installeur proposé par votre hébergeur, ou encore passer par un kvm pour installer vous même le système avec l'iso de debian.

=Pour les débutants=

Si vous êtes débutant en administration linux, je vous conseil de sauvegarder quelque part les fichier suivant issu d'une précédente installation de debian ou de proxmox
* <code>/etc/networks</code>
* <code>/etc/network/interfaces</code>
* <code>/etc/resolv.conf</code>
* <code>/etc/hosts</code>
* <code>/etc/fstab</code>
* <code>/etc/mdadm/mdadm.conf</code> si vous disposez d'un raid logiciel
* tout fichier de personnalisation de grub (<code>/etc/grub.d/</code> par exemple)

Cela vous permettra de vous faire une idée plus précise de ce qui doit figurer dans ces différents fichiers.

=Partitionnement et système de fichier=

Voici le partitionnement que je vais utiliser :
* Partition root (/) de 20 Go (/) en raid 1 sur les disques sda et sdb
* Partitions swap de 4096 Go chacune réparties sur sda et sdb
* Le reste de l'espace sera utilisé plus tard pour un LVM dédié aux VMs

==Partitionnement==

===Possibilité 1 : Partitionnement GPT pour EFI / UEFI===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions EFI (ESP), obligatoire pour le démarrage EFI/UEFI. Il faudra leur attribuer le type <code>EF00</code>. Pour assurer une bonne compatibilité avec les multiples firmwares EFI, il est recommandé de leur attribuer une taille de 512 MiB (+512M au prompt gdisk).
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

 

Pour les partitions EFI, nous créons un système de fichier FAT32 avec le label (nom) <code>EFI_SYSPART</code> :
<pre>
mkfs.fat -F 32 -n EFI_SYSPART /dev/sda1
mkfs.fat -F 32 -n EFI_SYSPART /dev/sdb1
</pre>

===Possibilité 2 : Partitionnement GPT pour BIOS===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions pour le bootloader. Il faudra leur attribuer le type <code>EF02</code>. On peut la créer idéalement du secteur 34 au secteur 2047 du disque.
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

Notez que la partition du bootloader ne doit pas être formatée.

===Possibilité 3 : partitionnement MBR pour BIOS (non prise en charge dans ce wiki)===

A titre informatif : création avec <code>parted</code>, sans nécessité de créer une partition dédiée au bootloader/grub.

==Création du RAID==

Pour des raisons esthétiques, définissez l'hostname de votre système de rescue :
<pre>hostname proxmox</pre>

Pour créer votre raid 1 avec 2 disques :
<pre>
mdadm --create --verbose /dev/md2 --level=1 --raid-devices=2 /dev/sda2 /dev/sdb2
</pre>

Notez que si vous souhaitez utiliser plus que 2 disques, il faut augmenter la valeur de <code>--raid-devices</code> et ajouter les partitions des disques à la suite.

Attendez que le raid soit synchronisé avant de continuer. Vous pouvez surveiller facilement cela avec la commande <code>watch cat /proc/mdstat</code>.

==Création des systèmes de fichiers==

Créez un système de fichier ext4 pour le raid du root :
<pre>
mkfs.ext4 /dev/md2
</pre>

Enfin, initialisez les swaps :
<pre>
mkswap /dev/sda3
mkswap /dev/sdb3
</pre>

=Installation de proxmox=

==Installation du système de base==

Nous débutons par installer le système de base de Debian avec <code>debootstrap</code>

Installez les paquets nécessaires dans votre rescue :
<pre>apt install debootstrap debian-keyring debian-archive-keyring</pre>

Montez votre partition raid root sur <code>/mnt</code> :
<pre>
mount /dev/md2 /mnt
</pre>

Installez le système de base debian, version bookworm :
<pre>debootstrap --arch=amd64 bookworm /mnt http://ftp.fr.debian.org/debian</pre>

==Configuration de Debian==

Montez les vfs suivants, puis chrootez dans votre nouveau système debian :
<pre>
mount -o bind /proc /mnt/proc
mount -o bind /dev /mnt/dev
mount -o bind /dev/pts /mnt/dev/pts
mount -o bind /sys /mnt/sys
mount -o bind /sys/firmware/efi/efivars /mnt/sys/firmware/efi/efivars
chroot /mnt
</pre>

Configurez les archives apt : éditez le fichier <code>/etc/apt/sources.list</code> :
<pre>
# main archive
deb http://deb.debian.org/debian/ bookworm main contrib non-free non-free-firmware
deb-src http://deb.debian.org/debian/ bookworm main contrib non-free non-free-firmware

# security updates
deb http://security.debian.org/debian-security bookworm-security main contrib non-free non-free-firmware
deb-src http://security.debian.org/debian-security bookworm-security main contrib non-free non-free-firmware

# bookworm-updates, previously known as 'volatile'
deb http://deb.debian.org/debian/ bookworm-updates main contrib non-free non-free-firmware
deb-src http://deb.debian.org/debian/ bookworm-updates main contrib non-free non-free-firmware

# backports archive
deb http://deb.debian.org/debian bookworm-backports main contrib non-free non-free-firmware
deb-src http://deb.debian.org/debian bookworm-backports main contrib non-free non-free-firmware
</pre>

Mettez à jour les paquets :
<pre>
apt update
apt full-upgrade
</pre>

Installez les locales et la configuration de console :
<pre>
apt install locales
dpkg-reconfigure locales
apt install console-data console-setup-linux console-setup wget
dpkg-reconfigure console-data # from arch > french > latin9)
</pre>

Définissez la zone horaire :
<pre>
tzselect
dpkg-reconfigure tzdata
</pre>

Configurez votre fichier <code>/etc/fstab</code>. 
Pour GPT pour EFI / UEFI :
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda1 /boot/efi vfat defaults 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

Pour GPT pour BIOS :
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

Montez la partition EFI / ESP dans le cas d'un partitionnement GPT pour EFI / UEFI :
<pre>
mkdir /boot/efi
mount /boot/efi
</pre>

Configurez les interfaces réseaux dans <code>/etc/network/interfaces</code> :
<pre>
# The loopback network interface
auto lo
iface lo inet loopback

auto eno3
iface eno3 inet static
address XXXX/24
gateway XXXX
</pre>

Configurez le fichier <code>/etc/hosts</code> :
<pre>
# local
127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters

# main
ipdelamachine proxmox.domain.tld proxmox pvelocalhost
</pre>

Définissez les hostnames dans ces fichiers :
<pre>
# Pour celui la : non-fqdn
echo proxmox > /etc/hostname
# Pour celui la : fqdn
echo proxmox.domain.tld > /etc/mailname
</pre>

'''ATTENTION''' Le fichier <code>/etc/hosts</code> DOIT être cohérent avec le fichier <code>/etc/hostname</code>. 
Par exemple, si le contenu de <code>/etc/hostname</code> est <code>proxmox</code> et que l'ip de votre proxmox est 225.182.54.9 il faudra veiller a avoir les informations suivantes dans <code>/etc/hosts</code> :
<pre>
127.0.0.1 localhost
225.182.54.9 proxmox.domain.tld proxmox pvelocalhost
</pre>

'''Attention : n'utilisez pas 127.0.1.1 (comme le fait debian) mais bien la vrai ip (ici 225.182.54.9)'''

N'oubliez pas de configurer les dns (ceux de votre hébergeur dédié) dans <code>/etc/resolv.conf</code> :
<pre>nameserver XX.XX.XX.XX</pre>

Installez postfix :
<pre>
hostname -F /etc/hostname
apt install postfix
</pre>

Enfin, comme nous installons notre partition de boot sur un raid software, il faut installer <code>madadm</code> à ce stade :
<pre>apt install mdadm</pre>

Vérifiez si votre array root s'est bien défini automatiquement dans <code>/etc/mdadm/mdadm.conf</code>. Si ce n'est pas me cas, ajoutez la configuration de l'array manuellement :
<pre>mdadm --examine --scan >> /etc/mdadm/mdadm.conf</pre>

==Installation de proxmox - kernel==

Ajoutez le dépot proxmox dans le fichier /etc/apt/source.list :
<pre>
# PVE pve-no-subscription repository provided by proxmox.com, NOT recommended for production use
deb http://download.proxmox.com/debian/pve bookworm pve-no-subscription
</pre>

Ajoutez la clé du dépôt proxmox :
<pre>
wget https://enterprise.proxmox.com/debian/proxmox-release-bookworm.gpg -O /etc/apt/trusted.gpg.d/proxmox-release-bookworm.gpg
</pre>

Mettez à jour le système :
<pre>
apt update
apt full-upgrade
</pre>

===Possibilité 1 : Partitions GPT pour EFI / UEFI===

Vérifiez que <code>/boot/efi</code> est bien monté. Si ce n'est pas le cas, faites le.

Installez le kernel proxmox :
<pre>
apt install pve-firmware
apt install proxmox-default-kernel grub-efi-amd64 gdisk
</pre>

Supprimez les paquets suivant si vous n'avez pas besoin de secureboot :
<pre>apt purge grub-efi-amd64-signed mokutil shim-helpers-amd64-signed shim-signed shim-signed-common shim-unsigned</pre>

Normalement tout doit se faire avec des promps. Si ce n'était pas le cas :
<pre>grub-install --bootloader-id=proxmox</pre>

Si jamais vous utilisez un démarrage en PXE (c'est le cas sur un serveur OVH par exemple), utilisez l'argument <code>--no-nvram</code> pour empêcher grub de mettre à jour la NVRAM et casser votre mécanique de démarrage PXE :
<pre>grub-install --bootloader-id=proxmox --no-nvram</pre>

Etant donné que seul <code>/dev/sda1</code> est monté sur <code>/boot/efi</code>, il faut transférer manuellement les données sur <code>/dev/sdb1</code> :
<pre>
mount /dev/sdb1 /mnt
rsync -av /boot/efi/ /mnt/
umount /mnt
</pre>

Si pour une raison quelconque, vous aviez besoin des headers du kernel :
<pre>apt install pve-headers-5.15</pre>

===Possibilité 2 : Partitions GPT pour BIOS OU Partitions MBR pour BIOS===

<pre>
apt install pve-firmware
apt install proxmox-default-kernel grub-pc gdisk
</pre>

Lorsqu'on vous demandera où installer grub, choisissez <code>sda</code> ET <code>sdb</code>. Sinon :
<pre>
grub-install /dev/sda
grub-install /dev/sdb
</pre>

==Installation de proxmox - OpenSSH==

Installez openssh et définissez un password root. Autorisez le login root par password temporairement.
<pre>
hostname -F /etc/hostname
apt install openssh-server
passwd
sed -i "s/#PermitRootLogin prohibit-password/PermitRootLogin yes/g" /etc/ssh/sshd_config
</pre>

==Installation de proxmox - Vérifications finales et redémarrage sur le kernel proxmox==

Si vous avez une configuration particulière à entrer dans <code>/etc/default/grub</code>, faites le maintenant. Par exemple :
<pre>
GRUB_CMDLINE_LINUX="nomodeset iommu=pt"
</pre>

Puis régénérez la configuration de grub :
<pre>update-grub</pre>

Vous pouvez vérifier que votre fstab est valide avec :
<pre>findmnt --verify --verbose</pre>

Vous pouvez maintenant sortir de votre chroot et démonter le système de fichier

<pre>
umount /boot/efi/
exit
umount /mnt/sys/firmware/efi/efivars
umount /mnt/sys
umount /mnt/dev/pts
umount /mnt/dev
umount /mnt/proc
umount /mnt
</pre>

Enfin, redémarrez le serveur sur le disque dur.

==Installation de ifupdown2==

Le paquet <code>ifupdown2</code> est en voie de devenir le remplaçant officiel de <code>ifupdown</code> pour proxmox.

<pre>
apt install ifupdown2
apt purge ifupdown
systemctl enable networking
</pre>

Pour vérifier que votre configuration est fonctionnelle : lancez <code>ifquery -a</code>

Redémarrez à nouveau votre serveur

==Installation de proxmox - pve==

Une fois le redémarrage effectué, vous allez enfin pouvoir installer pve :
<pre>apt install proxmox-ve ksm-control-daemon chrony</pre>
<pre>apt remove os-prober</pre>

Editez la configuration réseau <code>/etc/network/interfaces</code> afin d'y créer votre bridge :
<pre>
auto eno3
iface eno3 inet manual

auto vmbr0
iface vmbr0 inet static
address xxxxx/24
gateway xxxx
hwaddress AA:BB:CC:11:22:33
bridge_ports eno3
bridge_stp off
bridge_fd 0
</pre>

Définissez la ligne <code>hwaddress</code> avec l'adresse MAC de l'interface eno3.

Installez votre clé SSH dans <code>/root/.ssh/authorized_keys</code> puis désactivez le login root par password de OpenSSH dans <code>/etc/ssh/sshd_config</code>.
 

Une fois tout installé, je vous conseille de reconfigurer grub afin de mettre à jour la configuration interne de debian:
* Pour EFI : <code>dpkg-reconfigure grub-efi-amd64</code>
* Pour BIOS : <code>dpkg-reconfigure grub-pc</code>

 
Redémarrez une dernière fois pour appliquer les changements.

Votre proxmox sera accessible à l'adresse https://ip:8006

==Nettoyage des paquets==

Si vous ne comptez pas utiliser ZFS, vous pouvez supprimer les paquets suivantes :
<pre>apt purge zfs-zed libnvpair3linux libuutil3linux libzfs4linux libzpool5linux zfsutils-linux</pre>

==Configuration réseau avancée==

===Ajout d'une IPv6 sur vmbr0===

===Ajout d'un réseau interne vmbr1===

Nous allons voir comment créer un réseau interne avec proxmox, c'est à dire, un réseau qui ne sera attaché à aucune interface réseau physique. L'intérêt est d'offrir un débit bien supérieur pour les communications entre les VMs.

Ajoutez les lignes suivantes dans <code>/etc/network/interfaces</code> :

<pre>
auto vmbr1
iface vmbr1 inet static
address 192.168.0.1
netmask 255.255.255.0
</pre>

Note : vous pouvez faire de même en ipv6 :
* il faut utiliser le range Unique Local Address (ULA) fd00::/8 (http://en.wikipedia.org/wiki/Unique_Local_Address)
* pour générer votre ULA : http://pfoo.unscdf.org/ula/gen-ula.html

==Sécurisation de base==

Je vous conseil de commencer à sécuriser votre ssh :
* désactivez le login root (directive <code>PermitRootLogin no</code> dans <code>/etc/ssh/sshd_config</code>). Pensez néanmoins à créer un utilisateur pour vous connecter en ssh avant de désactiver le login root.
* utilisez la directive <code>allowusers <user></code> dans <code>/etc/ssh/sshd_config</code> pour n'autoriser que certains utilisateurs à se connecter en ssh.

Il est aussi préférable d'installer le serveur de temps NTP à la place de systemd-timesyncd:
<pre>
apt install chrony
apt purge systemd-timesyncd
</pre>

=Configurer le serveur mail postfix=

==Configuration==

==Certificats SSL==
Si vous avez votre propre autorité ssl, vous pouvez générer votre propre certificat. Si ce n'est pas le cas, vous pouvez toujours aller lire [http://wiki.unscdf.org/index.php?title=Installation_et_configuration_de_OpenSSL ceci] afin d'apprendre à créer votre autorité ssl.

Ajoutez les lignes suivantes dans <code>/etc/ssl/openssl.cnf</code> :
<pre>
[POSTFIX]
nsComment = "SMTP Server Certificate"
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid,issuer:always
issuerAltName = issuer:copy
basicConstraints = critical,CA:FALSE
keyUsage = critical, digitalSignature, nonRepudiation, keyEncipherment
nsCertType = server
extendedKeyUsage = serverAuth
</pre>

Puis générez la clé et le certificat, et signez le avec votre autorité (int_ca dans mon cas) :
<pre>
openssl req -config /etc/ssl/openssl.cnf -nodes -newkey rsa:2048 -keyout postfix.key -out postfix.req
openssl ca -config /etc/ssl/openssl.cnf -name int_ca -extensions POSTFIX -in postfix.req -out postfix.pem
</pre>

Déplacez les fichiers dans le répertoire <code>/etc/postfix/ssl</code> :
<pre>
mkdir /etc/postfix/ssl
mv postfix.key /etc/postfix/ssl/
mv postfix.pem /etc/postfix/ssl/
chmod 600 /etc/postfix/ssl/*
cat /etc/ssl/root_ca/root_ca.pem /etc/ssl/int_ca/int_ca.pem > /etc/postfix/ssl/ca_chain.pem
</pre>

Il faut encore modifier <code>/etc/postfix/main.cf</code> :
<pre>
smtpd_tls_cert_file=/etc/postfix/ssl/postfix.pem
smtpd_tls_key_file=/etc/postfix/ssl/postfix.key
smtpd_tls_CAfile=/etc/postfix/ssl/ca_chain.pem
smtpd_use_tls=yes
smtp_tls_cert_file=/etc/postfix/ssl/postfix.pem
smtp_tls_key_file=/etc/postfix/ssl/postfix.key
smtp_tls_CAfile=/etc/postfix/ssl/ca_chain.pem

smtpd_tls_security_level=may
smtp_tls_security_level=may
smtpd_tls_loglevel = 1
smtp_tls_loglevel = 1

#smtp_tls_policy_maps = hash:/etc/postfix/tls_policy
</pre>

=Utiliser son propre certificat SSL proxmox avec un signataire intermédiaire=

Depuis Proxmox 5.2, il n'est plus recommandé d'adapter manuellement les fichiers contenant les certificats et clés privés de proxmox. 
Cependant, vous pouvez placer directement votre clé privé dans le fichier <code>/etc/pve/local/pveproxy-ssl.key</code> et la chaîne de certification dans le fichier <code>/etc/pve/local/pveproxy-ssl.pem</code>. Vous pouvez également déposer ces fichiers via la webui de proxmox au niveau de chaque serveur.

Si vous avez endommagé les certificats autogénérés par proxmox (<code>/etc/pve/pve-root-ca.pem</code>, <code>/etc/pve/priv/pve-root-ca.key</code>, <code>/etc/pve/nodes/<node>/pve-ssl.pem</code>, <code>/etc/pve/nodes/<node>/pve-ssl.key</code>), vous pouvez les régénérer avec :
<pre>pvecm updatecerts -f</pre>

=Surveiller l'état des disques avec SMART=

Commencez par installer le paquet smartmontools :
<pre>apt install smartmontools</pre>

Vérifiez que vos disques gèrent smart et qu'il est activé :
<pre>
smartctl -i /dev/sda
smartctl -i /dev/sdb
</pre>

Si smart n'est pas activé, essayez de l'activer comme ceci :
<pre>
smartctl -s on /dev/sda
smartctl -s on /dev/sdb
</pre>

Vérifiez le statut de santé de vos disques :
<pre>
smartctl -H /dev/sda
smartctl -H /dev/sdb
</pre>
S'il indique <code>PASSED</code> c'est bon de ce côté. S'il vous indique <code>FAILED</code>, sauvegardez immédiatement vos données !

Vérifiez la présence d'erreurs dans le log smart :
<pre>
smartctl -l error /dev/sda
smartctl -l error /dev/sdb
</pre>

Si vous voyez <code>No Errors Logged</code> ou quelques erreurs, c'est bon. S'il y eu a beaucoup, il faut envisager de changer le disque.

Le fichier de configuration de smartd est <code>/etc/smartd.conf</code>. Commentez la ligne <code>DEVICESCAN</code> puis ajoutez les lignes suivantes pour surveiller les deux disques durs :
<pre>
/dev/sda -a -o on -S on -s (S/../.././02|L/../../6/03) -m vous@domain.tld
/dev/sdb -a -o on -S on -s (S/../.././02|L/../../6/03) -m vous@domain.tld
</pre>

Nous activons la surveillance globale (<code>-a</code>), la vérification automatique offline, (<code>-o on</code>), la sauvegarde automatique des attributs (<code>-S on</code> et lançons un <code>short self test</code> tous les jours à 2h du matin, et un <code>long self test</code> tous les samedi à 3h du matin. Si des erreurs sont détectés, un email est envoyé à vous@domain.tld. 

Relancez smartd :
<pre>/etc/init.d/smartmontools restart</pre>

Pour plus d'information sur SMART et ses arguments : [[Diagnostic smart d'un disque]]

=Protégez votre proxmox=

==Désactiver le login root sur l'interface proxmox==
Avant toute manipulation, n'oubliez pas de créer un utilisateur ayant les droits d'administration pour accéder à l'interface de proxmox

===Via l'interface proxmox===
Dans Datacenter > Permissions > Users : Editez l'utilisateur root et décochez la case <code>Enabled</code>

===Via les droits linux===
<pre>passwd --lock root</pre>

Attention, dans ce cas, vous ne pourrez plus vous loguer en root sur le serveur par ssh (sauf si vous avez une clé ssh défini), écran ou kvm !

===Via PAM===
Vous pouvez désactiver le login pam en éditant <code>/etc/pam.d/other</code> et en y ajoutant, en début de fichier, les lignes suivantes :
<pre>
auth required pam_deny.so
auth required pam_warn.so
account required pam_deny.so
account required pam_warn.so
</pre>

Attention, cette méthode peut avoir des effets de bord si d'autres programmes utilisent l'entité pam/other

==Désactiver rpcbind==

Si vous n'utilisez pas de montage NFS vous pouvez désactiver rpcbind. 
Editez <code>/etc/default/nfs-common</code> et passez l'argument suivant :
<pre>NEED_STATD=no</pre>

Puis désactivez rpcbind :
<pre>
systemctl disable rpcbind.target
systemctl disable rpcbind.socket
systemctl disable rpcbind.service
systemctl stop rpcbind.target
systemctl stop rpcbind.socket
systemctl stop rpcbind.service
</pre>

==Eviter les reboots accidentels avec molly-gard==
<pre>apt install molly-guard</pre>

==Protection SSH avec sshguard==

[[Protéger SSH avec sshguard]]

==Protéger l'interface web avec fail2ban==

<pre>apt install fail2ban</pre>

Créez le fichier <code>/etc/fail2ban/jail.local</code> contenant :
<pre>
[DEFAULT]
# "ignoreip" can be an IP address, a CIDR mask or a DNS host
ignoreip = 127.0.0.1
bantime = 1800
maxretry = 3

#
# Destination email address used solely for the interpolations in
# jail.{conf,local} configuration files.
destemail = root@localhost

action = %(action_mwl)s

[ssh]
enabled = false

[sshd]
enabled = false

[proxmox]
enabled = true
port = https,http,8006
filter = proxmox
backend = systemd
maxretry = 4
findtime = 2d
bantime = 1h
</pre>

Créez le fichier <code>/etc/fail2ban/filter.d/proxmox.conf</code> :
<pre>
[Definition]
failregex = pvedaemon\[.*authentication failure; rhost=<HOST> user=.* msg=.*
ignoreregex =
journalmatch = _SYSTEMD_UNIT=pvedaemon.service
</pre>

Relancez fail2ban :
<pre>/etc/init.d/fail2ban restart</pre>

==firewall iptables==

=Création d'un stockage pour les VMs=

Créez les partitions sda4 et sdb4 au moyen de gdisk (EFI) ou parted (BIOS).

Créez sur ces partitions un raid :
<pre>mdadm --create --verbose /dev/md4 --level=1 --raid-devices=2 /dev/sda4 /dev/sdb4</pre>

Maintenez à jour <code>mdadm.conf</code> et votre initramfs afin de conserver le bon naming du raid après reboot :
<pre>
mdadm --examine --scan >> /etc/mdadm/mdadm.conf
update-initramfs -u
</pre>

Puis initialisez-y un LVM :
<pre>
pvcreate /dev/md4
vgcreate main /dev/md4
</pre>

Il ne reste plus qu'a déclarer ce Volume Group LVM dans l'interface proxmox.

=VM qemu/kvm=

==Télécharger vos images==

Vous pouvez placer les iso dans <code>/var/lib/vz/template/iso/</code> avec <code>wget</code> par exemple.
Notez que l'interface graphique de proxmox propose également une fonction d'upload.

==Créer votre première VM==

Une fois la VM crées dans l'interface proxmox, je vous recommande d'écrire des zero sur son disque afin de réduire la taille des futurs backups. Si votre vm porte le numéro 100 et possède un seul disque :
<pre>dd if=/dev/zero | pv -ptrb | dd of=/dev/main/vm-100-disk1 bs=1M</pre>

===Configuration réseau en bridge vmbr0 (ip public)===

===Configuration réseau en bridge vmbr1 (ip locale)===

Configuration réseau de la VM :
<pre>
iface eth0 inet static
address 192.168.0.2
netmask 255.255.255.0
gateway 192.168.0.1
</pre>

Règle iptables à ajouter sur l'hôte :
<pre>iptables -t nat -A POSTROUTING -s 192.168.0.2 -o vmbr0 -j SNAT --to IP-PUBLIC-DE-VOTRE-HOTE</pre>

Si vous souhaitez rendre accessible l'un des services de la VM depuis l'ip de l'hote sur un port sépcifique :
<pre>
iptables -t nat -A PREROUTING -p tcp -d <ip de l'hote> --dport <port souhaité> -i vmbr0 -j DNAT --to-destination 192.168.0.2:port
</pre>

==Bloquer le spoofing d'adresse mac==
Sur l'hyperviseur, installez <code>ebtables</code> :
<pre>apt install ebtables</pre>

Admettons ensuite que votre VM a comme adresse ip <code>84.93.26.3</code> et que son adresse mac doit être <code>52:54:00:00:98:b6</code> :
<pre>ebtables -A FORWARD -p IPv4 --ip-src 84.93.26.3 -s ! 52:54:00:00:98:b6 -j DROP</pre>

Vous pouvez faire de même pour l'ipv6. Dans l'exemple suivant, seul le bloc ipv6 <code>2a01:d4h:123b:100::/56</code> est utilisable par la vm :
<pre>ebtables -A FORWARD -p IPv6 --ip6-src 2a01:d4h:123b:100::/56 -s ! 52:54:00:00:08:b1 -j DROP</pre>

==Importer une VM depuis vmware ESXi==

==qm et modification des VMs en ligne de commande==

==Monter les partitions d'une VM depuis l'host==

<pre>
# losetup /dev/loop0 /dev/main/vm-101-disk-1
# fdisk -lu /dev/loop0

Disk /dev/loop0: 10.7 GB, 10737418240 bytes
255 heads, 63 sectors/track, 1305 cylinders, total 20971520 sectors
Units = sectors of 1 * 512 = 512 bytes
Disk identifier: 0x0002f94d

Device Boot Start End Blocks Id System
/dev/loop0p1 * 2048 20013055 10005504 83 Linux
/dev/loop0p2 20015102 20969471 477185 5 Extended
/dev/loop0p5 20015104 20969471 477184 82 Linux swap / Solaris
</pre>

pour la partition 1 : start*blocksize = offset
donc 2048*512 = 1048576

<pre>losetup /dev/loop1 -o 1048576 /dev/main/vm-101-disk-1 </pre>

Et enfin :
<pre>mount /dev/loop1 /mnt</pre>

Quand vous avez terminé vos modifications :
<pre>
umount /mnt
losetup -d /dev/loop1
losetup -d /dev/loop0
</pre>

===Si la partition que vous voulez monter est un LVM===

Scannez les nouveaux volumes :
<pre>lvm pvscan</pre>

Activez les groupes :
<pre>lvm vgchange -ay</pre>

listez les lvms avec :
<pre>lvm lvs</pre>

Les LV devraient apparaître dans <code>/dev/mapper/</code>

Quand vous avez terminé :
* démontez les LV
* Désactivez le groupe avec <code>vgchange -an</code>
* désactivez le loopback : <code>losetup -d /dev/loop0</code>

==Augmenter la taille du disque d'une VM==

Coupez la VM.

Sur l'host pour modifier la taille du disque 1 de la vm 110 ) 140G :
<pre>lvextend -L 140G /dev/main/vm-110-disk-1</pre>

Il faut ensuite, sur la vm lancée, utiliser resize2fs

==Migrer une VM vers un autre serveur manuellement (pas de cluster) avec un downtime minimum==

Nous allons voir comment migrer une VM proxmox stockée sur un LVM d'un serveur à un autre, et ce, en minimisant au maximum le downtime. Pour cela, nous allons coupler la fonctionnalité de snapshot de lvm avec un petit script (lvmsync) qui permet de ne transférer que les blocs modifiés d'un snapshot.

Installez dmsetup et ruby (1.8 minimum) sur le serveur d'origine et de destination :
<pre>apt install dmsetup ruby</pre>

Récupérez <code>lvmsync</code> sur https://github.com/mpalmer/lvmsync et placez le dans /sbin/ sur les serveurs d'origine et de destination.

Dans cet exemple, nous allons migrer la vm 102 disposant d'un seul disque virtuel nommé vm-102-disk-1 et stocké dans le vg main du serveur server1.domain.tld vers le serveur server2.domain.tld.
Pour commencer, créez un snapshot de votre vm sur server1 :
<pre>lvcreate --snapshot -L200G -n 102-lvmsync main/vm-102-disk-1</pre>

Désormais, tous les io de cette vm seront stockés dans le snapshot 102-lvmsync.

Sur votre nouveau serveur, créez une VM identique à celle de votre premier serveur (surtout en qui concerne la taille de disque).
Depuis server1, copiez avec un dd over ssh le disque d'origine de votre vm vers votre nouveau serveur.
<pre>dd if=/dev/main/vm-102-disk-1 | pv -ptrb | ssh -o "Compression no" root@server2.domain.tld "dd of=/dev/main/vm-102-disk-1 bs=100M"</pre>

Note : sur un réseauu 100Mbps utilisez plutôt <code>-o "Compressionlevel 1"</code>

Une fois la copie terminée, coupez la vm 102 sur server1, puis lancez lvmsync sur le snapshot (toujours sur server1) :
<pre>lvmsync /dev/main/102-lvmsync server2.domain.tld:/dev/main/vm-102-disk-1</pre>

Une fois le travail de lvmsync achevé, il ne nous reste plus qu'a relancer la vm sur server2

A titre d'information, si vous voulez merger le snapshot de la vm 102 sur server 1, tapez :
<pre>lvconvert --merge /dev/main/102-lvmsync</pre>

=Conteneur LXC=

==Empêcher la mise à jour automatique de certains fichiers de configuration système du conteneur==

Certains fichiers de configuration du conteneur sont mis à jour automatiquement à chaque démarrage (voir https://pve.proxmox.com/pve-docs/pve-admin-guide.html#_guest_operating_system_configuration)

On peut empêcher la mise à jour de ces fichiers en créant un fichier <code>.pve-ignore.NOM</code> 
Par exemple, <code>/etc/.pve-ignore.resolv.conf</code> empêchera le fichier <code>/etc/resolv.conf</code> d'être mis à jour à chaque démarrage.

=Annexes=

==Problème de layout dans la console vnc==
Dans l'interface web de proxmox : datacenter > option > passez Keyboard de <code>default</code> à <code>French</code>.

==Erreurs du type <code>IPv6 addrconf: prefix with wrong length 56</code> ==

Cette erreur est typique sous linux si les routeurs de votre serveur annoncent des blocs IPv6 /56 alors que vous configurez des /64.
Ajouter les lignes suivantes dans un fichier <code>/etc/sysctl.d/local.conf</code> :
<pre>
net.ipv6.conf.all.autoconf = 0
net.ipv6.conf.default.autoconf = 0
net.ipv6.conf.eno3.autoconf = 0
net.ipv6.conf.vmbr0.autoconf = 0
</pre>

Terminez par relancer procps :
<pre>/etc/init.d/procps restart</pre>

==paramètre sysctl ipv6 non appliqué au boot==
Ajoutez le module ipv6 dans /etc/modules afin d'assurer le chargement d'ipv6 avant l’exécution de sysctl :
<pre>echo ipv6 >> /etc/modules</pre>

==LVM inaccessible depuis l'host==

<pre>
lvm pvscan
lvm vgchange -ay
</pre>

==L'interface web ne fonctionne pas et la commande qm retourne une erreur ipcc_send_rec failed: Connection refused==

Vérifiez la présence de fichiers et dossiers dans <code>/etc/pve/</code>. Si ce dossier est vide, c'est probablement que votre fichier <code>/etc/hosts</code> est mal configuré. 
Essayez de relancer <code>pve-cluster</code> :
<pre>/etc/init.d/pve-cluster restart</pre>

Si vous avez une erreur ou un warning, lancez la commande pmxcfs. Vous devriez obtenir ceci :
<pre>
$# pmxcfs
Jan 21 15:28:19 proxmox pmxcfs[1846]: Unable to get local IP address (pmxcfs.c:721:main)
</pre>

Vérifiez alors que le contenu de <code>/etc/hostname</code> est défini dans <code>/etc/hosts</code>.

Si par exemple <code>/etc/hostname</code> contient <code>proxmox.domain.tld</code> vous devriez avoir la ligne suivante dans <code>/etc/hosts</code> :
<pre>VOTREIP proxmox.domain.tld proxmox</pre>

==Pas assez d'interfaces loopback==

Créer le fichier <code>/etc/modprobe.d/local-loop.conf</code> contenant :
<pre>options loop max_loop=64</pre>

Vous pouvez ensuite redémarrer ou recharger le module loop :
<pre> rmmod loop && modprobe loop</pre>

==Défragmentation LVM : exemple==
<pre>
hub:~# pvdisplay --maps
--- Physical volume ---
PV Name /dev/sda4
VG Name main
PV Size 1.76 TB / not usable 456.00 KB
Allocatable yes
PE Size (KByte) 4096
Total PE 461649
Free PE 208721
Allocated PE 252928
PV UUID PUqV5Q-WRW2-n20t-eFVM-CA1r-RhDl-2RTJHq

--- Physical Segments ---
Physical extent 0 to 7935:
Logical volume /dev/main/vm-101-disk-1
Logical extents 0 to 7935
Physical extent 7936 to 72191:
Logical volume /dev/main/vm-101-disk-2
Logical extents 0 to 64255
Physical extent 72192 to 136703:
Logical volume /dev/main/vm-102-disk-1
Logical extents 0 to 64511
Physical extent 136704 to 144895:
Logical volume /dev/main/vm-103-disk-1
Logical extents 0 to 8191
Physical extent 144896 to 209151:
Logical volume /dev/main/vm-103-disk-2
Logical extents 0 to 64255
Physical extent 209152 to 214271:
Logical volume /dev/main/vm-104-disk-1
Logical extents 0 to 5119
Physical extent 214272 to 227327:
Logical volume /dev/main/vm-104-disk-2
Logical extents 0 to 13055
Physical extent 227328 to 282111:
FREE
Physical extent 282112 to 307711:
Logical volume /dev/main/vm-108-disk-1
Logical extents 0 to 25599
Physical extent 307712 to 461648:
FREE
</pre>

Comme vous pouvez le voir, on a un trou "vide" entre l'extent 227328 et 282111, puis à nouveau des données entre l'extent 282112 et 307711.

Pour combler ce trou, nous allons déplacer les données des /dev/main/vm-108-disk-1 situés entre les extents 282112 et 307711 (soit 25599 extents au total) vers l'espace libre avec <code>pvmove</code> : 
pvmove /dev/sda4:282112-307711 /dev/sda4:227328-252927 --alloc anywhere

Notez qu'il faut attribuer exactement le même nombre d'extents à la destination qu'à l'origine : 227328 + 25599 = 252927

==Oups: j'ai supprimé le mauvais lvm==

Pas de panique, mais ne bougez plus ! Pour l'instant, seul les métadonnées du lvm sont impactés.
Et comme c'est bien foutu, lvm conserve un backup des anciennes metadonnées après chaque modification. Ces archives sont situés dans <code>/etc/lvm/archive/</code>. Les fichiers y sont nommés sous la forme vg_XXXX-YYYYYYY.vg. Normalement, le fichier ayant le XXXX le plus élevé sera celui de l'état précédent votre erreur.
Pour vérifier que vous avez sélectionné le bon fichier, vous pouvez l'ouvrir avec nano et regarder si l'état du lvm dans cette archive correspond a ce que vous attendez.

Pour restaurer l'archive des métadonnées main_00007-587941649.vg pour le vg main :
<pre>
vgcfgrestore -f /etc/lvm/archive/main_00007-587941649.vg main
lvm vgchange -ay
</pre>

Votre volume devrait être de retour.

Il faut encore vérifier que la table de partition contenu sur ce lvm n'a pas morphlé. En admettant que /dev/main/vm-101-disk-1 est la lvm que vous venez de restaurer :
<pre>
# losetup /dev/loop0 /dev/main/vm-101-disk-1
# fdisk -lu /dev/loop0

Disk /dev/loop0: 10.7 GB, 10737418240 bytes
255 heads, 63 sectors/track, 1305 cylinders, total 20971520 sectors
Units = sectors of 1 * 512 = 512 bytes
Disk identifier: 0x0002f94d

Device Boot Start End Blocks Id System
/dev/loop0p1 * 2048 20013055 10005504 83 Linux
/dev/loop0p2 20015102 20969471 477185 5 Extended
/dev/loop0p5 20015104 20969471 477184 82 Linux swap / Solaris
</pre>

Si vous voyez ça, c'est bon, vous êtes sauvés ! Si ce n'est pas le cas, continuez à lire ;)

===Récupération de la table de partition===

Si fdisk vous envois chier avec un message du style <code>Disk /dev/loop0 doesn't contain a valid partition table</code>, il va falloir récupérer la table de partition.

Installez testdisk :
<pre>apt install testdisk</pre>

Lancez le:
<pre>
# losetup /dev/loop0 /dev/main/vm-101-disk-1
# testdisk /dev/loop0
</pre>

Selectionez le media <code>/dev/loop0</code> et validez avec <code>enter</code>.
Au menu suivant, sélectionnez <code>intel</code> comme type de table de partition.
Au menu suivant, sélectionnez <code>analyse</code>
A l'écran suivant, tapez enter.
Avec de la chance, testdisk retrouvera vos partitions. Une fois qu'il aura terminé de travailler, il ne restera plus qu'à taper sur enter encore une fois, puis demander à testdisk de sauvegarder la table de partition

==L'interface proxmox n'affiche pas les disques de certaines VMs==

Ceci arrive typiquement si vous avez créé un volume logique à la main sans y ajouter le bon tag.
Vérifiez la présence des tags sur vos LV avec la commande <code>lvs --options 'vg_name,lv_name,lv_size,tags'</code> :
<pre>
~# lvs --options 'vg_name,lv_name,lv_size,tags'
VG LV LSize LV Tags
main vm-100-disk-1 2.00g pve-vm-100
main vm-101-disk-1 20.00g
</pre>

Comme vous le voyez, le lv de la vm 101 n'est pas tagué. Vous pouvez ajouter le tag avec <code>lvchange --addtag pve-vm-101 /dev/main/vm-101-disk-1</code> :
<pre>
~# lvchange --addtag pve-vm-101 /dev/main/vm-101-disk-1
~# lvs --options 'vg_name,lv_name,lv_size,tags'
VG LV LSize LV Tags
main vm-100-disk-1 2.00g pve-vm-100
main vm-101-disk-1 16.00g pve-vm-101
</pre>

Si cela ne fonctionne pas, essayez de passer un petit coup de <code>qm rescan</code>

Debootstrap

2026-10-08T11:17:28Z

Pfoo : /* Vérifications finales et redémarrage sur le kernel */

[[category:debian]]
[[category:serveur]]
[[Category:trixie]]
Debootstrap permet d'installer une distribution debian sur un point de montage en utilisant une debian en service.

=Prérequis=

Ce tutoriel se base sur l'utilisation de debootstrap pour installer une base de système d'exploitation debian. La plupart des hébergeurs proposent un système de "rescue" permettant l'installation de debian par ce moyen.
Si vous ne disposez pas de mode rescue, vous pouvez toujours utiliser l'installeur proposé par votre hébergeur, ou encore passer par un kvm pour installer vous même le système avec l'iso de debian.

=Pour les débutants=

Si vous êtes débutant en administration linux, je vous conseil de sauvegarder quelque part les fichier suivant issu d'une précédente installation de debian ou de proxmox
* <code>/etc/networks</code>
* <code>/etc/network/interfaces</code>
* <code>/etc/resolv.conf</code>
* <code>/etc/hosts</code>
* <code>/etc/fstab</code>
* <code>/etc/mdadm/mdadm.conf</code> si vous disposez d'un raid logiciel
* tout fichier de personnalisation de grub (<code>/etc/grub.d/</code> par exemple)

Cela vous permettra de vous faire une idée plus précise de ce qui doit figurer dans ces différents fichiers.

=Partitionnement et système de fichier=

Voici le partitionnement que je vais utiliser :
* Partition root (/) de 20 Go (/) en raid 1 sur les disques sda et sdb
* Partitions swap de 4096 Go chacune réparties sur sda et sdb
* Le reste de l'espace sera utilisé plus tard pour un LVM dédié aux VMs

==Partitionnement==

===Possibilité 1 : Partitionnement GPT pour EFI / UEFI===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions EFI (ESP), obligatoire pour le démarrage EFI/UEFI. Il faudra leur attribuer le type <code>EF00</code>. Pour assurer une bonne compatibilité avec les multiples firmwares EFI, il est recommandé de leur attribuer une taille de 512 MiB (+512M au prompt gdisk).
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

 

Pour les partitions EFI, nous créons un système de fichier FAT32 avec le label (nom) <code>EFI_SYSPART</code> :
<pre>
mkfs.fat -F 32 -n EFI_SYSPART /dev/sda1
mkfs.fat -F 32 -n EFI_SYSPART /dev/sdb1
</pre>

===Possibilité 2 : Partitionnement GPT pour BIOS===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions pour le bootloader. Il faudra leur attribuer le type <code>EF02</code>. On peut la créer idéalement du secteur 34 au secteur 2047 du disque.
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

Notez que la partition du bootloader ne doit pas être formatée.

===Possibilité 3 : partitionnement MBR pour BIOS (non prise en charge dans ce wiki)===

A titre informatif : création avec <code>parted</code>, sans nécessité de créer une partition dédiée au bootloader/grub : créez juste la partition root et swap.

==Création du RAID==

Pour des raisons esthétiques, définissez l'hostname de votre système de rescue :
<pre>hostname debian</pre>

Pour créer votre raid 1 avec 2 disques :
<pre>
mdadm --create --verbose /dev/md2 --level=1 --raid-devices=2 /dev/sda2 /dev/sdb2
</pre>

Notez que si vous souhaitez utiliser plus que 2 disques, il faut augmenter la valeur de <code>--raid-devices</code> et ajouter les partitions des disques à la suite.

Attendez que le raid soit synchronisé avant de continuer. Vous pouvez surveiller facilement cela avec la commande <code>watch cat /proc/mdstat</code>.

==Création des systèmes de fichiers==

Créez un système de fichier ext4 pour le raid du root :
<pre>
mkfs.ext4 /dev/md2
</pre>

Enfin, initialisez les swaps :
<pre>
mkswap /dev/sda3
mkswap /dev/sdb3
</pre>

=Installation de debian=

==Installation du système de base==

Nous débutons par installer le système de base de Debian avec <code>debootstrap</code>

Installez les paquets nécessaires dans votre rescue :
<pre>apt install debootstrap debian-archive-keyring</pre>

Montez votre partition raid root sur <code>/mnt</code> :
<pre>
mount /dev/md2 /mnt
</pre>

Installez le système de base debian, version bookworm :
<pre>debootstrap --arch=amd64 --include=openssl,ca-certificates trixie /mnt http://deb.debian.org/debian</pre>

==Configuration de Debian==

Montez les vfs suivants, puis chrootez dans votre nouveau système debian :
<pre>
mount -o bind /proc /mnt/proc
mount -o bind /dev /mnt/dev
mount -o bind /dev/pts /mnt/dev/pts
mount -o bind /sys /mnt/sys
mount -o bind /sys/firmware/efi/efivars /mnt/sys/firmware/efi/efivars
chroot /mnt
</pre>

Configurez les archives apt : éditez le fichier <code>/etc/apt/sources.list.d/debian.sources</code> :
<pre>
# main updates and backports
Types: deb
URIs: https://deb.debian.org/debian
Suites: trixie trixie-updates trixie-backports
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

# security
Types: deb
URIs: https://security.debian.org/debian-security
Suites: trixie-security
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg
</pre>

Mettez à jour les paquets :
<pre>
apt update
apt full-upgrade
</pre>

Installez les locales et la configuration de console :
<pre>
apt install locales
dpkg-reconfigure locales
apt install console-data console-setup-linux console-setup wget
dpkg-reconfigure console-data # from arch > french > latin9)
</pre>

Définissez la zone horaire :
<pre>
tzselect
dpkg-reconfigure tzdata
</pre>

Configurez votre fichier <code>/etc/fstab</code>. 
'''Pour GPT pour EFI / UEFI :'''
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda1 /boot/efi vfat defaults 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

'''Pour GPT ou MBR pour BIOS :'''
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

'''Dans le cas d'un partitionnement GPT pour EFI / UEFI''' : montez la partition EFI / ESP :
<pre>
mkdir /boot/efi
mount /boot/efi
</pre>

Configurez les interfaces réseaux dans <code>/etc/network/interfaces</code> :
<pre>
# The loopback network interface
auto lo
iface lo inet loopback

auto eno3
iface eno3 inet static
address XXXX/24
gateway XXXX
</pre>

Configurez le fichier <code>/etc/hosts</code> :
<pre>
127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
ff02::3 ip6-allhosts

127.0.1.1 debian.domain.tld debian
</pre>

Définissez les hostnames dans ces fichiers :
<pre>
# Pour celui la : non-fqdn
echo debian > /etc/hostname
# Pour celui la : fqdn
echo debian.domain.tld > /etc/mailname
</pre>

N'oubliez pas de configurer les dns (ceux de votre hébergeur dédié) dans <code>/etc/resolv.conf</code> :
<pre>nameserver XX.XX.XX.XX</pre>

Installez postfix :
<pre>
hostname -F /etc/hostname
apt install postfix
</pre>

Enfin, comme nous installons notre partition de boot sur un raid software, il faut installer <code>madadm</code> à ce stade :
<pre>apt install mdadm</pre>

Vérifiez si votre array root s'est bien défini automatiquement dans <code>/etc/mdadm/mdadm.conf</code>. Si ce n'est pas me cas, ajoutez la configuration de l'array manuellement :
<pre>mdadm --examine --scan >> /etc/mdadm/mdadm.conf</pre>

==Installation du kernel==

===Possibilité 1 : Partitions GPT pour EFI / UEFI===

Vérifiez que <code>/boot/efi</code> est bien monté. Si ce n'est pas le cas, faites le.

Installez le kernel proxmox :
<pre>
apt install linux-image-amd64 grub-efi-amd64 gdisk
</pre>

Supprimez les paquets suivant si vous n'avez pas besoin de secureboot :
<pre>apt purge grub-efi-amd64-signed mokutil shim-helpers-amd64-signed shim-signed shim-signed-common shim-unsigned</pre>

Normalement tout doit se faire avec des promps (<code>dpkg-reconfigure grub-efi-amd64</code>). Si ce n'était pas le cas :
<pre>grub-install --bootloader-id=debian</pre>

Si jamais vous utilisez un démarrage en PXE (c'est le cas sur un serveur OVH par exemple), utilisez l'argument <code>--no-nvram</code> pour empêcher grub de mettre à jour la NVRAM et casser votre mécanique de démarrage PXE :
<pre>grub-install --bootloader-id=debian --no-nvram</pre>

Etant donné que seul <code>/dev/sda1</code> est monté sur <code>/boot/efi</code>, il faut transférer manuellement les données sur <code>/dev/sdb1</code> :
<pre>
mount /dev/sdb1 /mnt
rsync -av /boot/efi/ /mnt/
umount /mnt
</pre>

===Possibilité 2 : Partitions GPT pour BIOS OU Partitions MBR pour BIOS===

<pre>
apt install linux-image-amd64 grub-pc gdisk
</pre>

Lorsqu'on vous demandera où installer grub, choisissez <code>sda</code> ET <code>sdb</code>. Sinon :
<pre>
grub-install /dev/sda
grub-install /dev/sdb
</pre>

==Installation de proxmox - OpenSSH==

Installez openssh et définissez votre clé ssh.
<pre>
hostname -F /etc/hostname
apt install openssh-server
echo "votre clé ssh" > /root/.ssh/authorized_keys
</pre>

==Vérifications finales et redémarrage sur le kernel==

Si vous avez une configuration particulière à entrer dans <code>/etc/default/grub</code>, faites le maintenant. Par exemple :
<pre>
GRUB_CMDLINE_LINUX="nomodeset iommu=pt"
</pre>

Puis régénérez la configuration de grub :
<pre>update-grub</pre>

Vous pouvez vérifier que votre fstab est valide avec :
<pre>findmnt --verify --verbose</pre>

Vous pouvez maintenant sortir de votre chroot et démonter le système de fichier

<pre>
umount /boot/efi/
exit
umount /mnt/sys/firmware/efi/efivars
umount /mnt/sys
umount /mnt/dev/pts
umount /mnt/dev
umount /mnt/proc
umount /mnt
</pre>

'''Enfin, redémarrez le serveur sur le disque dur.'''

Debootstrap

2026-10-08T11:17:11Z

Pfoo : /* Configuration de Debian */

[[category:debian]]
[[category:serveur]]
[[Category:trixie]]
Debootstrap permet d'installer une distribution debian sur un point de montage en utilisant une debian en service.

=Prérequis=

Ce tutoriel se base sur l'utilisation de debootstrap pour installer une base de système d'exploitation debian. La plupart des hébergeurs proposent un système de "rescue" permettant l'installation de debian par ce moyen.
Si vous ne disposez pas de mode rescue, vous pouvez toujours utiliser l'installeur proposé par votre hébergeur, ou encore passer par un kvm pour installer vous même le système avec l'iso de debian.

=Pour les débutants=

Si vous êtes débutant en administration linux, je vous conseil de sauvegarder quelque part les fichier suivant issu d'une précédente installation de debian ou de proxmox
* <code>/etc/networks</code>
* <code>/etc/network/interfaces</code>
* <code>/etc/resolv.conf</code>
* <code>/etc/hosts</code>
* <code>/etc/fstab</code>
* <code>/etc/mdadm/mdadm.conf</code> si vous disposez d'un raid logiciel
* tout fichier de personnalisation de grub (<code>/etc/grub.d/</code> par exemple)

Cela vous permettra de vous faire une idée plus précise de ce qui doit figurer dans ces différents fichiers.

=Partitionnement et système de fichier=

Voici le partitionnement que je vais utiliser :
* Partition root (/) de 20 Go (/) en raid 1 sur les disques sda et sdb
* Partitions swap de 4096 Go chacune réparties sur sda et sdb
* Le reste de l'espace sera utilisé plus tard pour un LVM dédié aux VMs

==Partitionnement==

===Possibilité 1 : Partitionnement GPT pour EFI / UEFI===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions EFI (ESP), obligatoire pour le démarrage EFI/UEFI. Il faudra leur attribuer le type <code>EF00</code>. Pour assurer une bonne compatibilité avec les multiples firmwares EFI, il est recommandé de leur attribuer une taille de 512 MiB (+512M au prompt gdisk).
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

 

Pour les partitions EFI, nous créons un système de fichier FAT32 avec le label (nom) <code>EFI_SYSPART</code> :
<pre>
mkfs.fat -F 32 -n EFI_SYSPART /dev/sda1
mkfs.fat -F 32 -n EFI_SYSPART /dev/sdb1
</pre>

===Possibilité 2 : Partitionnement GPT pour BIOS===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions pour le bootloader. Il faudra leur attribuer le type <code>EF02</code>. On peut la créer idéalement du secteur 34 au secteur 2047 du disque.
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

Notez que la partition du bootloader ne doit pas être formatée.

===Possibilité 3 : partitionnement MBR pour BIOS (non prise en charge dans ce wiki)===

A titre informatif : création avec <code>parted</code>, sans nécessité de créer une partition dédiée au bootloader/grub : créez juste la partition root et swap.

==Création du RAID==

Pour des raisons esthétiques, définissez l'hostname de votre système de rescue :
<pre>hostname debian</pre>

Pour créer votre raid 1 avec 2 disques :
<pre>
mdadm --create --verbose /dev/md2 --level=1 --raid-devices=2 /dev/sda2 /dev/sdb2
</pre>

Notez que si vous souhaitez utiliser plus que 2 disques, il faut augmenter la valeur de <code>--raid-devices</code> et ajouter les partitions des disques à la suite.

Attendez que le raid soit synchronisé avant de continuer. Vous pouvez surveiller facilement cela avec la commande <code>watch cat /proc/mdstat</code>.

==Création des systèmes de fichiers==

Créez un système de fichier ext4 pour le raid du root :
<pre>
mkfs.ext4 /dev/md2
</pre>

Enfin, initialisez les swaps :
<pre>
mkswap /dev/sda3
mkswap /dev/sdb3
</pre>

=Installation de debian=

==Installation du système de base==

Nous débutons par installer le système de base de Debian avec <code>debootstrap</code>

Installez les paquets nécessaires dans votre rescue :
<pre>apt install debootstrap debian-archive-keyring</pre>

Montez votre partition raid root sur <code>/mnt</code> :
<pre>
mount /dev/md2 /mnt
</pre>

Installez le système de base debian, version bookworm :
<pre>debootstrap --arch=amd64 --include=openssl,ca-certificates trixie /mnt http://deb.debian.org/debian</pre>

==Configuration de Debian==

Montez les vfs suivants, puis chrootez dans votre nouveau système debian :
<pre>
mount -o bind /proc /mnt/proc
mount -o bind /dev /mnt/dev
mount -o bind /dev/pts /mnt/dev/pts
mount -o bind /sys /mnt/sys
mount -o bind /sys/firmware/efi/efivars /mnt/sys/firmware/efi/efivars
chroot /mnt
</pre>

Configurez les archives apt : éditez le fichier <code>/etc/apt/sources.list.d/debian.sources</code> :
<pre>
# main updates and backports
Types: deb
URIs: https://deb.debian.org/debian
Suites: trixie trixie-updates trixie-backports
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

# security
Types: deb
URIs: https://security.debian.org/debian-security
Suites: trixie-security
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg
</pre>

Mettez à jour les paquets :
<pre>
apt update
apt full-upgrade
</pre>

Installez les locales et la configuration de console :
<pre>
apt install locales
dpkg-reconfigure locales
apt install console-data console-setup-linux console-setup wget
dpkg-reconfigure console-data # from arch > french > latin9)
</pre>

Définissez la zone horaire :
<pre>
tzselect
dpkg-reconfigure tzdata
</pre>

Configurez votre fichier <code>/etc/fstab</code>. 
'''Pour GPT pour EFI / UEFI :'''
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda1 /boot/efi vfat defaults 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

'''Pour GPT ou MBR pour BIOS :'''
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

'''Dans le cas d'un partitionnement GPT pour EFI / UEFI''' : montez la partition EFI / ESP :
<pre>
mkdir /boot/efi
mount /boot/efi
</pre>

Configurez les interfaces réseaux dans <code>/etc/network/interfaces</code> :
<pre>
# The loopback network interface
auto lo
iface lo inet loopback

auto eno3
iface eno3 inet static
address XXXX/24
gateway XXXX
</pre>

Configurez le fichier <code>/etc/hosts</code> :
<pre>
127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
ff02::3 ip6-allhosts

127.0.1.1 debian.domain.tld debian
</pre>

Définissez les hostnames dans ces fichiers :
<pre>
# Pour celui la : non-fqdn
echo debian > /etc/hostname
# Pour celui la : fqdn
echo debian.domain.tld > /etc/mailname
</pre>

N'oubliez pas de configurer les dns (ceux de votre hébergeur dédié) dans <code>/etc/resolv.conf</code> :
<pre>nameserver XX.XX.XX.XX</pre>

Installez postfix :
<pre>
hostname -F /etc/hostname
apt install postfix
</pre>

Enfin, comme nous installons notre partition de boot sur un raid software, il faut installer <code>madadm</code> à ce stade :
<pre>apt install mdadm</pre>

Vérifiez si votre array root s'est bien défini automatiquement dans <code>/etc/mdadm/mdadm.conf</code>. Si ce n'est pas me cas, ajoutez la configuration de l'array manuellement :
<pre>mdadm --examine --scan >> /etc/mdadm/mdadm.conf</pre>

==Installation du kernel==

===Possibilité 1 : Partitions GPT pour EFI / UEFI===

Vérifiez que <code>/boot/efi</code> est bien monté. Si ce n'est pas le cas, faites le.

Installez le kernel proxmox :
<pre>
apt install linux-image-amd64 grub-efi-amd64 gdisk
</pre>

Supprimez les paquets suivant si vous n'avez pas besoin de secureboot :
<pre>apt purge grub-efi-amd64-signed mokutil shim-helpers-amd64-signed shim-signed shim-signed-common shim-unsigned</pre>

Normalement tout doit se faire avec des promps (<code>dpkg-reconfigure grub-efi-amd64</code>). Si ce n'était pas le cas :
<pre>grub-install --bootloader-id=debian</pre>

Si jamais vous utilisez un démarrage en PXE (c'est le cas sur un serveur OVH par exemple), utilisez l'argument <code>--no-nvram</code> pour empêcher grub de mettre à jour la NVRAM et casser votre mécanique de démarrage PXE :
<pre>grub-install --bootloader-id=debian --no-nvram</pre>

Etant donné que seul <code>/dev/sda1</code> est monté sur <code>/boot/efi</code>, il faut transférer manuellement les données sur <code>/dev/sdb1</code> :
<pre>
mount /dev/sdb1 /mnt
rsync -av /boot/efi/ /mnt/
umount /mnt
</pre>

===Possibilité 2 : Partitions GPT pour BIOS OU Partitions MBR pour BIOS===

<pre>
apt install linux-image-amd64 grub-pc gdisk
</pre>

Lorsqu'on vous demandera où installer grub, choisissez <code>sda</code> ET <code>sdb</code>. Sinon :
<pre>
grub-install /dev/sda
grub-install /dev/sdb
</pre>

==Installation de proxmox - OpenSSH==

Installez openssh et définissez votre clé ssh.
<pre>
hostname -F /etc/hostname
apt install openssh-server
echo "votre clé ssh" > /root/.ssh/authorized_keys
</pre>

==Vérifications finales et redémarrage sur le kernel==

Si vous avez une configuration particulière à entrer dans <code>/etc/default/grub</code>, faites le maintenant. Par exemple :
<pre>
GRUB_CMDLINE_LINUX="nomodeset iommu=pt"
</pre>

Puis régénérez la configuration de grub :
<pre>update-grub</pre>

Vous pouvez vérifier que votre fstab est valide avec :
<pre>findmnt --verify --verbose</pre>

Vous pouvez maintenant sortir de votre chroot et démonter le système de fichier

<pre>
umount /boot/efi/
exit
umount /mnt/sys
umount /mnt/dev/pts
umount /mnt/dev
umount /mnt/proc
umount /mnt
</pre>

'''Enfin, redémarrez le serveur sur le disque dur.'''

Debootstrap

2026-10-08T11:10:21Z

Pfoo : /* Configuration de Debian */

[[category:debian]]
[[category:serveur]]
[[Category:trixie]]
Debootstrap permet d'installer une distribution debian sur un point de montage en utilisant une debian en service.

=Prérequis=

Ce tutoriel se base sur l'utilisation de debootstrap pour installer une base de système d'exploitation debian. La plupart des hébergeurs proposent un système de "rescue" permettant l'installation de debian par ce moyen.
Si vous ne disposez pas de mode rescue, vous pouvez toujours utiliser l'installeur proposé par votre hébergeur, ou encore passer par un kvm pour installer vous même le système avec l'iso de debian.

=Pour les débutants=

Si vous êtes débutant en administration linux, je vous conseil de sauvegarder quelque part les fichier suivant issu d'une précédente installation de debian ou de proxmox
* <code>/etc/networks</code>
* <code>/etc/network/interfaces</code>
* <code>/etc/resolv.conf</code>
* <code>/etc/hosts</code>
* <code>/etc/fstab</code>
* <code>/etc/mdadm/mdadm.conf</code> si vous disposez d'un raid logiciel
* tout fichier de personnalisation de grub (<code>/etc/grub.d/</code> par exemple)

Cela vous permettra de vous faire une idée plus précise de ce qui doit figurer dans ces différents fichiers.

=Partitionnement et système de fichier=

Voici le partitionnement que je vais utiliser :
* Partition root (/) de 20 Go (/) en raid 1 sur les disques sda et sdb
* Partitions swap de 4096 Go chacune réparties sur sda et sdb
* Le reste de l'espace sera utilisé plus tard pour un LVM dédié aux VMs

==Partitionnement==

===Possibilité 1 : Partitionnement GPT pour EFI / UEFI===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions EFI (ESP), obligatoire pour le démarrage EFI/UEFI. Il faudra leur attribuer le type <code>EF00</code>. Pour assurer une bonne compatibilité avec les multiples firmwares EFI, il est recommandé de leur attribuer une taille de 512 MiB (+512M au prompt gdisk).
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

 

Pour les partitions EFI, nous créons un système de fichier FAT32 avec le label (nom) <code>EFI_SYSPART</code> :
<pre>
mkfs.fat -F 32 -n EFI_SYSPART /dev/sda1
mkfs.fat -F 32 -n EFI_SYSPART /dev/sdb1
</pre>

===Possibilité 2 : Partitionnement GPT pour BIOS===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions pour le bootloader. Il faudra leur attribuer le type <code>EF02</code>. On peut la créer idéalement du secteur 34 au secteur 2047 du disque.
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

Notez que la partition du bootloader ne doit pas être formatée.

===Possibilité 3 : partitionnement MBR pour BIOS (non prise en charge dans ce wiki)===

A titre informatif : création avec <code>parted</code>, sans nécessité de créer une partition dédiée au bootloader/grub : créez juste la partition root et swap.

==Création du RAID==

Pour des raisons esthétiques, définissez l'hostname de votre système de rescue :
<pre>hostname debian</pre>

Pour créer votre raid 1 avec 2 disques :
<pre>
mdadm --create --verbose /dev/md2 --level=1 --raid-devices=2 /dev/sda2 /dev/sdb2
</pre>

Notez que si vous souhaitez utiliser plus que 2 disques, il faut augmenter la valeur de <code>--raid-devices</code> et ajouter les partitions des disques à la suite.

Attendez que le raid soit synchronisé avant de continuer. Vous pouvez surveiller facilement cela avec la commande <code>watch cat /proc/mdstat</code>.

==Création des systèmes de fichiers==

Créez un système de fichier ext4 pour le raid du root :
<pre>
mkfs.ext4 /dev/md2
</pre>

Enfin, initialisez les swaps :
<pre>
mkswap /dev/sda3
mkswap /dev/sdb3
</pre>

=Installation de debian=

==Installation du système de base==

Nous débutons par installer le système de base de Debian avec <code>debootstrap</code>

Installez les paquets nécessaires dans votre rescue :
<pre>apt install debootstrap debian-archive-keyring</pre>

Montez votre partition raid root sur <code>/mnt</code> :
<pre>
mount /dev/md2 /mnt
</pre>

Installez le système de base debian, version bookworm :
<pre>debootstrap --arch=amd64 --include=openssl,ca-certificates trixie /mnt http://deb.debian.org/debian</pre>

==Configuration de Debian==

Montez les vfs suivants, puis chrootez dans votre nouveau système debian :
<pre>
mount -o bind /proc /mnt/proc
mount -o bind /dev /mnt/dev
mount -o bind /dev/pts /mnt/dev/pts
mount -o bind /sys /mnt/sys
#mount -o bind /sys/firmware/efi/efivars /mnt/sys/firmware/efi/efivars
chroot /mnt
</pre>

Configurez les archives apt : éditez le fichier <code>/etc/apt/sources.list.d/debian.sources</code> :
<pre>
# main updates and backports
Types: deb
URIs: https://deb.debian.org/debian
Suites: trixie trixie-updates trixie-backports
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

# security
Types: deb
URIs: https://security.debian.org/debian-security
Suites: trixie-security
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg
</pre>

Mettez à jour les paquets :
<pre>
apt update
apt full-upgrade
</pre>

Installez les locales et la configuration de console :
<pre>
apt install locales
dpkg-reconfigure locales
apt install console-data console-setup-linux console-setup wget
dpkg-reconfigure console-data # from arch > french > latin9)
</pre>

Définissez la zone horaire :
<pre>
tzselect
dpkg-reconfigure tzdata
</pre>

Configurez votre fichier <code>/etc/fstab</code>. 
'''Pour GPT pour EFI / UEFI :'''
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda1 /boot/efi vfat defaults 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

'''Pour GPT ou MBR pour BIOS :'''
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

'''Dans le cas d'un partitionnement GPT pour EFI / UEFI''' : montez la partition EFI / ESP :
<pre>
mkdir /boot/efi
mount /boot/efi
</pre>

Configurez les interfaces réseaux dans <code>/etc/network/interfaces</code> :
<pre>
# The loopback network interface
auto lo
iface lo inet loopback

auto eno3
iface eno3 inet static
address XXXX/24
gateway XXXX
</pre>

Configurez le fichier <code>/etc/hosts</code> :
<pre>
127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback
fe00::0 ip6-localnet
ff00::0 ip6-mcastprefix
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
ff02::3 ip6-allhosts

127.0.1.1 debian.domain.tld debian
</pre>

Définissez les hostnames dans ces fichiers :
<pre>
# Pour celui la : non-fqdn
echo debian > /etc/hostname
# Pour celui la : fqdn
echo debian.domain.tld > /etc/mailname
</pre>

N'oubliez pas de configurer les dns (ceux de votre hébergeur dédié) dans <code>/etc/resolv.conf</code> :
<pre>nameserver XX.XX.XX.XX</pre>

Installez postfix :
<pre>
hostname -F /etc/hostname
apt install postfix
</pre>

Enfin, comme nous installons notre partition de boot sur un raid software, il faut installer <code>madadm</code> à ce stade :
<pre>apt install mdadm</pre>

Vérifiez si votre array root s'est bien défini automatiquement dans <code>/etc/mdadm/mdadm.conf</code>. Si ce n'est pas me cas, ajoutez la configuration de l'array manuellement :
<pre>mdadm --examine --scan >> /etc/mdadm/mdadm.conf</pre>

==Installation du kernel==

===Possibilité 1 : Partitions GPT pour EFI / UEFI===

Vérifiez que <code>/boot/efi</code> est bien monté. Si ce n'est pas le cas, faites le.

Installez le kernel proxmox :
<pre>
apt install linux-image-amd64 grub-efi-amd64 gdisk
</pre>

Supprimez les paquets suivant si vous n'avez pas besoin de secureboot :
<pre>apt purge grub-efi-amd64-signed mokutil shim-helpers-amd64-signed shim-signed shim-signed-common shim-unsigned</pre>

Normalement tout doit se faire avec des promps (<code>dpkg-reconfigure grub-efi-amd64</code>). Si ce n'était pas le cas :
<pre>grub-install --bootloader-id=debian</pre>

Si jamais vous utilisez un démarrage en PXE (c'est le cas sur un serveur OVH par exemple), utilisez l'argument <code>--no-nvram</code> pour empêcher grub de mettre à jour la NVRAM et casser votre mécanique de démarrage PXE :
<pre>grub-install --bootloader-id=debian --no-nvram</pre>

Etant donné que seul <code>/dev/sda1</code> est monté sur <code>/boot/efi</code>, il faut transférer manuellement les données sur <code>/dev/sdb1</code> :
<pre>
mount /dev/sdb1 /mnt
rsync -av /boot/efi/ /mnt/
umount /mnt
</pre>

===Possibilité 2 : Partitions GPT pour BIOS OU Partitions MBR pour BIOS===

<pre>
apt install linux-image-amd64 grub-pc gdisk
</pre>

Lorsqu'on vous demandera où installer grub, choisissez <code>sda</code> ET <code>sdb</code>. Sinon :
<pre>
grub-install /dev/sda
grub-install /dev/sdb
</pre>

==Installation de proxmox - OpenSSH==

Installez openssh et définissez votre clé ssh.
<pre>
hostname -F /etc/hostname
apt install openssh-server
echo "votre clé ssh" > /root/.ssh/authorized_keys
</pre>

==Vérifications finales et redémarrage sur le kernel==

Si vous avez une configuration particulière à entrer dans <code>/etc/default/grub</code>, faites le maintenant. Par exemple :
<pre>
GRUB_CMDLINE_LINUX="nomodeset iommu=pt"
</pre>

Puis régénérez la configuration de grub :
<pre>update-grub</pre>

Vous pouvez vérifier que votre fstab est valide avec :
<pre>findmnt --verify --verbose</pre>

Vous pouvez maintenant sortir de votre chroot et démonter le système de fichier

<pre>
umount /boot/efi/
exit
umount /mnt/sys
umount /mnt/dev/pts
umount /mnt/dev
umount /mnt/proc
umount /mnt
</pre>

'''Enfin, redémarrez le serveur sur le disque dur.'''

Debootstrap

2026-10-08T11:04:24Z

Pfoo : /* Configuration de Debian */

[[category:debian]]
[[category:serveur]]
[[Category:trixie]]
Debootstrap permet d'installer une distribution debian sur un point de montage en utilisant une debian en service.

=Prérequis=

Ce tutoriel se base sur l'utilisation de debootstrap pour installer une base de système d'exploitation debian. La plupart des hébergeurs proposent un système de "rescue" permettant l'installation de debian par ce moyen.
Si vous ne disposez pas de mode rescue, vous pouvez toujours utiliser l'installeur proposé par votre hébergeur, ou encore passer par un kvm pour installer vous même le système avec l'iso de debian.

=Pour les débutants=

Si vous êtes débutant en administration linux, je vous conseil de sauvegarder quelque part les fichier suivant issu d'une précédente installation de debian ou de proxmox
* <code>/etc/networks</code>
* <code>/etc/network/interfaces</code>
* <code>/etc/resolv.conf</code>
* <code>/etc/hosts</code>
* <code>/etc/fstab</code>
* <code>/etc/mdadm/mdadm.conf</code> si vous disposez d'un raid logiciel
* tout fichier de personnalisation de grub (<code>/etc/grub.d/</code> par exemple)

Cela vous permettra de vous faire une idée plus précise de ce qui doit figurer dans ces différents fichiers.

=Partitionnement et système de fichier=

Voici le partitionnement que je vais utiliser :
* Partition root (/) de 20 Go (/) en raid 1 sur les disques sda et sdb
* Partitions swap de 4096 Go chacune réparties sur sda et sdb
* Le reste de l'espace sera utilisé plus tard pour un LVM dédié aux VMs

==Partitionnement==

===Possibilité 1 : Partitionnement GPT pour EFI / UEFI===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions EFI (ESP), obligatoire pour le démarrage EFI/UEFI. Il faudra leur attribuer le type <code>EF00</code>. Pour assurer une bonne compatibilité avec les multiples firmwares EFI, il est recommandé de leur attribuer une taille de 512 MiB (+512M au prompt gdisk).
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

 

Pour les partitions EFI, nous créons un système de fichier FAT32 avec le label (nom) <code>EFI_SYSPART</code> :
<pre>
mkfs.fat -F 32 -n EFI_SYSPART /dev/sda1
mkfs.fat -F 32 -n EFI_SYSPART /dev/sdb1
</pre>

===Possibilité 2 : Partitionnement GPT pour BIOS===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions pour le bootloader. Il faudra leur attribuer le type <code>EF02</code>. On peut la créer idéalement du secteur 34 au secteur 2047 du disque.
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

Notez que la partition du bootloader ne doit pas être formatée.

===Possibilité 3 : partitionnement MBR pour BIOS (non prise en charge dans ce wiki)===

A titre informatif : création avec <code>parted</code>, sans nécessité de créer une partition dédiée au bootloader/grub : créez juste la partition root et swap.

==Création du RAID==

Pour des raisons esthétiques, définissez l'hostname de votre système de rescue :
<pre>hostname debian</pre>

Pour créer votre raid 1 avec 2 disques :
<pre>
mdadm --create --verbose /dev/md2 --level=1 --raid-devices=2 /dev/sda2 /dev/sdb2
</pre>

Notez que si vous souhaitez utiliser plus que 2 disques, il faut augmenter la valeur de <code>--raid-devices</code> et ajouter les partitions des disques à la suite.

Attendez que le raid soit synchronisé avant de continuer. Vous pouvez surveiller facilement cela avec la commande <code>watch cat /proc/mdstat</code>.

==Création des systèmes de fichiers==

Créez un système de fichier ext4 pour le raid du root :
<pre>
mkfs.ext4 /dev/md2
</pre>

Enfin, initialisez les swaps :
<pre>
mkswap /dev/sda3
mkswap /dev/sdb3
</pre>

=Installation de debian=

==Installation du système de base==

Nous débutons par installer le système de base de Debian avec <code>debootstrap</code>

Installez les paquets nécessaires dans votre rescue :
<pre>apt install debootstrap debian-archive-keyring</pre>

Montez votre partition raid root sur <code>/mnt</code> :
<pre>
mount /dev/md2 /mnt
</pre>

Installez le système de base debian, version bookworm :
<pre>debootstrap --arch=amd64 --include=openssl,ca-certificates trixie /mnt http://deb.debian.org/debian</pre>

==Configuration de Debian==

Montez les vfs suivants, puis chrootez dans votre nouveau système debian :
<pre>
mount -o bind /proc /mnt/proc
mount -o bind /dev /mnt/dev
mount -o bind /dev/pts /mnt/dev/pts
mount -o bind /sys /mnt/sys
#mount -o bind /sys/firmware/efi/efivars /mnt/sys/firmware/efi/efivars
chroot /mnt
</pre>

Configurez les archives apt : éditez le fichier <code>/etc/apt/sources.list.d/debian.sources</code> :
<pre>
# main updates and backports
Types: deb
URIs: https://deb.debian.org/debian
Suites: trixie trixie-updates trixie-backports
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

# security
Types: deb
URIs: https://security.debian.org/debian-security
Suites: trixie-security
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg
</pre>

Mettez à jour les paquets :
<pre>
apt update
apt full-upgrade
</pre>

Installez les locales et la configuration de console :
<pre>
apt install locales
dpkg-reconfigure locales
apt install console-data console-setup-linux console-setup wget
dpkg-reconfigure console-data # from arch > french > latin9)
</pre>

Définissez la zone horaire :
<pre>
tzselect
dpkg-reconfigure tzdata
</pre>

Configurez votre fichier <code>/etc/fstab</code>. 
'''Pour GPT pour EFI / UEFI :'''
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda1 /boot/efi vfat defaults 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

'''Pour GPT ou MBR pour BIOS :'''
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

'''Dans le cas d'un partitionnement GPT pour EFI / UEFI''' : montez la partition EFI / ESP :
<pre>
mkdir /boot/efi
mount /boot/efi
</pre>

Configurez les interfaces réseaux dans <code>/etc/network/interfaces</code> :
<pre>
# The loopback network interface
auto lo
iface lo inet loopback

auto eno3
iface eno3 inet static
address XXXX/24
gateway XXXX
</pre>

Configurez le fichier <code>/etc/hosts</code> :
<pre>
# local
127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters

# main
ipdelamachine debian.domain.tld debian
</pre>

Définissez les hostnames dans ces fichiers :
<pre>
# Pour celui la : non-fqdn
echo debian > /etc/hostname
# Pour celui la : fqdn
echo debian.domain.tld > /etc/mailname
</pre>

N'oubliez pas de configurer les dns (ceux de votre hébergeur dédié) dans <code>/etc/resolv.conf</code> :
<pre>nameserver XX.XX.XX.XX</pre>

Installez postfix :
<pre>
hostname -F /etc/hostname
apt install postfix
</pre>

Enfin, comme nous installons notre partition de boot sur un raid software, il faut installer <code>madadm</code> à ce stade :
<pre>apt install mdadm</pre>

Vérifiez si votre array root s'est bien défini automatiquement dans <code>/etc/mdadm/mdadm.conf</code>. Si ce n'est pas me cas, ajoutez la configuration de l'array manuellement :
<pre>mdadm --examine --scan >> /etc/mdadm/mdadm.conf</pre>

==Installation du kernel==

===Possibilité 1 : Partitions GPT pour EFI / UEFI===

Vérifiez que <code>/boot/efi</code> est bien monté. Si ce n'est pas le cas, faites le.

Installez le kernel proxmox :
<pre>
apt install linux-image-amd64 grub-efi-amd64 gdisk
</pre>

Supprimez les paquets suivant si vous n'avez pas besoin de secureboot :
<pre>apt purge grub-efi-amd64-signed mokutil shim-helpers-amd64-signed shim-signed shim-signed-common shim-unsigned</pre>

Normalement tout doit se faire avec des promps (<code>dpkg-reconfigure grub-efi-amd64</code>). Si ce n'était pas le cas :
<pre>grub-install --bootloader-id=debian</pre>

Si jamais vous utilisez un démarrage en PXE (c'est le cas sur un serveur OVH par exemple), utilisez l'argument <code>--no-nvram</code> pour empêcher grub de mettre à jour la NVRAM et casser votre mécanique de démarrage PXE :
<pre>grub-install --bootloader-id=debian --no-nvram</pre>

Etant donné que seul <code>/dev/sda1</code> est monté sur <code>/boot/efi</code>, il faut transférer manuellement les données sur <code>/dev/sdb1</code> :
<pre>
mount /dev/sdb1 /mnt
rsync -av /boot/efi/ /mnt/
umount /mnt
</pre>

===Possibilité 2 : Partitions GPT pour BIOS OU Partitions MBR pour BIOS===

<pre>
apt install linux-image-amd64 grub-pc gdisk
</pre>

Lorsqu'on vous demandera où installer grub, choisissez <code>sda</code> ET <code>sdb</code>. Sinon :
<pre>
grub-install /dev/sda
grub-install /dev/sdb
</pre>

==Installation de proxmox - OpenSSH==

Installez openssh et définissez votre clé ssh.
<pre>
hostname -F /etc/hostname
apt install openssh-server
echo "votre clé ssh" > /root/.ssh/authorized_keys
</pre>

==Vérifications finales et redémarrage sur le kernel==

Si vous avez une configuration particulière à entrer dans <code>/etc/default/grub</code>, faites le maintenant. Par exemple :
<pre>
GRUB_CMDLINE_LINUX="nomodeset iommu=pt"
</pre>

Puis régénérez la configuration de grub :
<pre>update-grub</pre>

Vous pouvez vérifier que votre fstab est valide avec :
<pre>findmnt --verify --verbose</pre>

Vous pouvez maintenant sortir de votre chroot et démonter le système de fichier

<pre>
umount /boot/efi/
exit
umount /mnt/sys
umount /mnt/dev/pts
umount /mnt/dev
umount /mnt/proc
umount /mnt
</pre>

'''Enfin, redémarrez le serveur sur le disque dur.'''

Debootstrap

2026-10-08T11:02:59Z

Pfoo :

[[category:debian]]
[[category:serveur]]
[[Category:trixie]]
Debootstrap permet d'installer une distribution debian sur un point de montage en utilisant une debian en service.

=Prérequis=

Ce tutoriel se base sur l'utilisation de debootstrap pour installer une base de système d'exploitation debian. La plupart des hébergeurs proposent un système de "rescue" permettant l'installation de debian par ce moyen.
Si vous ne disposez pas de mode rescue, vous pouvez toujours utiliser l'installeur proposé par votre hébergeur, ou encore passer par un kvm pour installer vous même le système avec l'iso de debian.

=Pour les débutants=

Si vous êtes débutant en administration linux, je vous conseil de sauvegarder quelque part les fichier suivant issu d'une précédente installation de debian ou de proxmox
* <code>/etc/networks</code>
* <code>/etc/network/interfaces</code>
* <code>/etc/resolv.conf</code>
* <code>/etc/hosts</code>
* <code>/etc/fstab</code>
* <code>/etc/mdadm/mdadm.conf</code> si vous disposez d'un raid logiciel
* tout fichier de personnalisation de grub (<code>/etc/grub.d/</code> par exemple)

Cela vous permettra de vous faire une idée plus précise de ce qui doit figurer dans ces différents fichiers.

=Partitionnement et système de fichier=

Voici le partitionnement que je vais utiliser :
* Partition root (/) de 20 Go (/) en raid 1 sur les disques sda et sdb
* Partitions swap de 4096 Go chacune réparties sur sda et sdb
* Le reste de l'espace sera utilisé plus tard pour un LVM dédié aux VMs

==Partitionnement==

===Possibilité 1 : Partitionnement GPT pour EFI / UEFI===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions EFI (ESP), obligatoire pour le démarrage EFI/UEFI. Il faudra leur attribuer le type <code>EF00</code>. Pour assurer une bonne compatibilité avec les multiples firmwares EFI, il est recommandé de leur attribuer une taille de 512 MiB (+512M au prompt gdisk).
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

 

Pour les partitions EFI, nous créons un système de fichier FAT32 avec le label (nom) <code>EFI_SYSPART</code> :
<pre>
mkfs.fat -F 32 -n EFI_SYSPART /dev/sda1
mkfs.fat -F 32 -n EFI_SYSPART /dev/sdb1
</pre>

===Possibilité 2 : Partitionnement GPT pour BIOS===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions pour le bootloader. Il faudra leur attribuer le type <code>EF02</code>. On peut la créer idéalement du secteur 34 au secteur 2047 du disque.
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

Notez que la partition du bootloader ne doit pas être formatée.

===Possibilité 3 : partitionnement MBR pour BIOS (non prise en charge dans ce wiki)===

A titre informatif : création avec <code>parted</code>, sans nécessité de créer une partition dédiée au bootloader/grub : créez juste la partition root et swap.

==Création du RAID==

Pour des raisons esthétiques, définissez l'hostname de votre système de rescue :
<pre>hostname debian</pre>

Pour créer votre raid 1 avec 2 disques :
<pre>
mdadm --create --verbose /dev/md2 --level=1 --raid-devices=2 /dev/sda2 /dev/sdb2
</pre>

Notez que si vous souhaitez utiliser plus que 2 disques, il faut augmenter la valeur de <code>--raid-devices</code> et ajouter les partitions des disques à la suite.

Attendez que le raid soit synchronisé avant de continuer. Vous pouvez surveiller facilement cela avec la commande <code>watch cat /proc/mdstat</code>.

==Création des systèmes de fichiers==

Créez un système de fichier ext4 pour le raid du root :
<pre>
mkfs.ext4 /dev/md2
</pre>

Enfin, initialisez les swaps :
<pre>
mkswap /dev/sda3
mkswap /dev/sdb3
</pre>

=Installation de debian=

==Installation du système de base==

Nous débutons par installer le système de base de Debian avec <code>debootstrap</code>

Installez les paquets nécessaires dans votre rescue :
<pre>apt install debootstrap debian-archive-keyring</pre>

Montez votre partition raid root sur <code>/mnt</code> :
<pre>
mount /dev/md2 /mnt
</pre>

Installez le système de base debian, version bookworm :
<pre>debootstrap --arch=amd64 --include=openssl,ca-certificates trixie /mnt http://deb.debian.org/debian</pre>

==Configuration de Debian==

Montez les vfs suivants, puis chrootez dans votre nouveau système debian :
<pre>
mount -o bind /proc /mnt/proc
mount -o bind /dev /mnt/dev
mount -o bind /dev/pts /mnt/dev/pts
mount -o bind /sys /mnt/sys
#mount -o bind /sys/firmware/efi/efivars /mnt/sys/firmware/efi/efivars
chroot /mnt
</pre>

Configurez les archives apt : éditez le fichier <code>/etc/apt/sources.list.d/debian.sources</code> :
<pre>
# main updates and backports
Types: deb
URIs: https://deb.debian.org/debian
Suites: trixie trixie-updates trixie-backports
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

# security
Types: deb
URIs: https://security.debian.org/debian-security
Suites: trixie-security
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg
</pre>

Mettez à jour les paquets :
<pre>
apt update
apt full-upgrade
</pre>

Installez les locales et la configuration de console :
<pre>
apt install locales
dpkg-reconfigure locales
apt install console-data console-setup-linux console-setup wget
dpkg-reconfigure console-data # from arch > french > latin9)
</pre>

Définissez la zone horaire :
<pre>
tzselect
dpkg-reconfigure tzdata
</pre>

Configurez votre fichier <code>/etc/fstab</code>. 
'''Pour GPT pour EFI / UEFI :'''
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda1 /boot/efi vfat defaults 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

'''Pour GPT pour BIOS :'''
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

'''Dans le cas d'un partitionnement GPT pour EFI / UEFI''' : montez la partition EFI / ESP :
<pre>
mkdir /boot/efi
mount /boot/efi
</pre>

Configurez les interfaces réseaux dans <code>/etc/network/interfaces</code> :
<pre>
# The loopback network interface
auto lo
iface lo inet loopback

auto eno3
iface eno3 inet static
address XXXX/24
gateway XXXX
</pre>

Configurez le fichier <code>/etc/hosts</code> :
<pre>
# local
127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters

# main
ipdelamachine debian.domain.tld debian
</pre>

Définissez les hostnames dans ces fichiers :
<pre>
# Pour celui la : non-fqdn
echo debian > /etc/hostname
# Pour celui la : fqdn
echo debian.domain.tld > /etc/mailname
</pre>

N'oubliez pas de configurer les dns (ceux de votre hébergeur dédié) dans <code>/etc/resolv.conf</code> :
<pre>nameserver XX.XX.XX.XX</pre>

Installez postfix :
<pre>
hostname -F /etc/hostname
apt install postfix
</pre>

Enfin, comme nous installons notre partition de boot sur un raid software, il faut installer <code>madadm</code> à ce stade :
<pre>apt install mdadm</pre>

Vérifiez si votre array root s'est bien défini automatiquement dans <code>/etc/mdadm/mdadm.conf</code>. Si ce n'est pas me cas, ajoutez la configuration de l'array manuellement :
<pre>mdadm --examine --scan >> /etc/mdadm/mdadm.conf</pre>

==Installation du kernel==

===Possibilité 1 : Partitions GPT pour EFI / UEFI===

Vérifiez que <code>/boot/efi</code> est bien monté. Si ce n'est pas le cas, faites le.

Installez le kernel proxmox :
<pre>
apt install linux-image-amd64 grub-efi-amd64 gdisk
</pre>

Supprimez les paquets suivant si vous n'avez pas besoin de secureboot :
<pre>apt purge grub-efi-amd64-signed mokutil shim-helpers-amd64-signed shim-signed shim-signed-common shim-unsigned</pre>

Normalement tout doit se faire avec des promps (<code>dpkg-reconfigure grub-efi-amd64</code>). Si ce n'était pas le cas :
<pre>grub-install --bootloader-id=debian</pre>

Si jamais vous utilisez un démarrage en PXE (c'est le cas sur un serveur OVH par exemple), utilisez l'argument <code>--no-nvram</code> pour empêcher grub de mettre à jour la NVRAM et casser votre mécanique de démarrage PXE :
<pre>grub-install --bootloader-id=debian --no-nvram</pre>

Etant donné que seul <code>/dev/sda1</code> est monté sur <code>/boot/efi</code>, il faut transférer manuellement les données sur <code>/dev/sdb1</code> :
<pre>
mount /dev/sdb1 /mnt
rsync -av /boot/efi/ /mnt/
umount /mnt
</pre>

===Possibilité 2 : Partitions GPT pour BIOS OU Partitions MBR pour BIOS===

<pre>
apt install linux-image-amd64 grub-pc gdisk
</pre>

Lorsqu'on vous demandera où installer grub, choisissez <code>sda</code> ET <code>sdb</code>. Sinon :
<pre>
grub-install /dev/sda
grub-install /dev/sdb
</pre>

==Installation de proxmox - OpenSSH==

Installez openssh et définissez votre clé ssh.
<pre>
hostname -F /etc/hostname
apt install openssh-server
echo "votre clé ssh" > /root/.ssh/authorized_keys
</pre>

==Vérifications finales et redémarrage sur le kernel==

Si vous avez une configuration particulière à entrer dans <code>/etc/default/grub</code>, faites le maintenant. Par exemple :
<pre>
GRUB_CMDLINE_LINUX="nomodeset iommu=pt"
</pre>

Puis régénérez la configuration de grub :
<pre>update-grub</pre>

Vous pouvez vérifier que votre fstab est valide avec :
<pre>findmnt --verify --verbose</pre>

Vous pouvez maintenant sortir de votre chroot et démonter le système de fichier

<pre>
umount /boot/efi/
exit
umount /mnt/sys
umount /mnt/dev/pts
umount /mnt/dev
umount /mnt/proc
umount /mnt
</pre>

'''Enfin, redémarrez le serveur sur le disque dur.'''

Debootstrap

2026-10-08T11:02:35Z

Pfoo : /* Configuration de Debian */

[[category:debian]]
[[category:serveur]]
[[Category:trixie]]
Debootstrap permet d'installer une distribution debian sur un point de montage en utilisant une debian en service.

=Prérequis=

Ce tutoriel se base sur l'utilisation de debootstrap pour installer une base de système d'exploitation debian. La plupart des hébergeurs proposent un système de "rescue" permettant l'installation de debian par ce moyen.
Si vous ne disposez pas de mode rescue, vous pouvez toujours utiliser l'installeur proposé par votre hébergeur, ou encore passer par un kvm pour installer vous même le système avec l'iso de debian.

=Pour les débutants=

Si vous êtes débutant en administration linux, je vous conseil de sauvegarder quelque part les fichier suivant issu d'une précédente installation de debian ou de proxmox
* <code>/etc/networks</code>
* <code>/etc/network/interfaces</code>
* <code>/etc/resolv.conf</code>
* <code>/etc/hosts</code>
* <code>/etc/fstab</code>
* <code>/etc/mdadm/mdadm.conf</code> si vous disposez d'un raid logiciel
* tout fichier de personnalisation de grub (<code>/etc/grub.d/</code> par exemple)

Cela vous permettra de vous faire une idée plus précise de ce qui doit figurer dans ces différents fichiers.

=Partitionnement et système de fichier=

Voici le partitionnement que je vais utiliser :
* Partition root (/) de 20 Go (/) en raid 1 sur les disques sda et sdb
* Partitions swap de 4096 Go chacune réparties sur sda et sdb
* Le reste de l'espace sera utilisé plus tard pour un LVM dédié aux VMs

==Partitionnement==

===Possibilité 1 : Partitionnement GPT pour EFI / UEFI===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions EFI (ESP), obligatoire pour le démarrage EFI/UEFI. Il faudra leur attribuer le type <code>EF00</code>. Pour assurer une bonne compatibilité avec les multiples firmwares EFI, il est recommandé de leur attribuer une taille de 512 MiB (+512M au prompt gdisk).
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

 

Pour les partitions EFI, nous créons un système de fichier FAT32 avec le label (nom) <code>EFI_SYSPART</code> :
<pre>
mkfs.fat -F 32 -n EFI_SYSPART /dev/sda1
mkfs.fat -F 32 -n EFI_SYSPART /dev/sdb1
</pre>

===Possibilité 2 : Partitionnement GPT pour BIOS===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions pour le bootloader. Il faudra leur attribuer le type <code>EF02</code>. On peut la créer idéalement du secteur 34 au secteur 2047 du disque.
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

Notez que la partition du bootloader ne doit pas être formatée.

===Possibilité 3 : partitionnement MBR pour BIOS (non prise en charge dans ce wiki)===

A titre informatif : création avec <code>parted</code>, sans nécessité de créer une partition dédiée au bootloader/grub : créez juste la partition root et swap.

==Création du RAID==

Pour des raisons esthétiques, définissez l'hostname de votre système de rescue :
<pre>hostname debian</pre>

Pour créer votre raid 1 avec 2 disques :
<pre>
mdadm --create --verbose /dev/md2 --level=1 --raid-devices=2 /dev/sda2 /dev/sdb2
</pre>

Notez que si vous souhaitez utiliser plus que 2 disques, il faut augmenter la valeur de <code>--raid-devices</code> et ajouter les partitions des disques à la suite.

Attendez que le raid soit synchronisé avant de continuer. Vous pouvez surveiller facilement cela avec la commande <code>watch cat /proc/mdstat</code>.

==Création des systèmes de fichiers==

Créez un système de fichier ext4 pour le raid du root :
<pre>
mkfs.ext4 /dev/md2
</pre>

Enfin, initialisez les swaps :
<pre>
mkswap /dev/sda3
mkswap /dev/sdb3
</pre>

=Installation de debian=

==Installation du système de base==

Nous débutons par installer le système de base de Debian avec <code>debootstrap</code>

Installez les paquets nécessaires dans votre rescue :
<pre>apt install debootstrap debian-archive-keyring</pre>

Montez votre partition raid root sur <code>/mnt</code> :
<pre>
mount /dev/md2 /mnt
</pre>

Installez le système de base debian, version bookworm :
<pre>debootstrap --arch=amd64 --include=openssl,ca-certificates trixie /mnt http://deb.debian.org/debian</pre>

==Configuration de Debian==

Montez les vfs suivants, puis chrootez dans votre nouveau système debian :
<pre>
mount -o bind /proc /mnt/proc
mount -o bind /dev /mnt/dev
mount -o bind /dev/pts /mnt/dev/pts
mount -o bind /sys /mnt/sys
#mount -o bind /sys/firmware/efi/efivars /mnt/sys/firmware/efi/efivars
chroot /mnt
</pre>

Configurez les archives apt : éditez le fichier <code>/etc/apt/sources.list.d/debian.sources</code> :
<pre>
# main updates and backports
Types: deb
URIs: https://deb.debian.org/debian
Suites: trixie trixie-updates trixie-backports
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

# security
Types: deb
URIs: https://security.debian.org/debian-security
Suites: trixie-security
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg
</pre>

Mettez à jour les paquets :
<pre>
apt update
apt full-upgrade
</pre>

Installez les locales et la configuration de console :
<pre>
apt install locales
dpkg-reconfigure locales
apt install console-data console-setup-linux console-setup wget
dpkg-reconfigure console-data # from arch > french > latin9)
</pre>

Définissez la zone horaire :
<pre>
tzselect
dpkg-reconfigure tzdata
</pre>

Configurez votre fichier <code>/etc/fstab</code>. 
'''Pour GPT pour EFI / UEFI :'''
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda1 /boot/efi vfat defaults 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

'''Pour GPT pour BIOS :'''
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

'''Dans le cas d'un partitionnement GPT pour EFI / UEFI''' : montez la partition EFI / ESP :
<pre>
mkdir /boot/efi
mount /boot/efi
</pre>

Configurez les interfaces réseaux dans <code>/etc/network/interfaces</code> :
<pre>
# The loopback network interface
auto lo
iface lo inet loopback

auto eno3
iface eno3 inet static
address XXXX/24
gateway XXXX
</pre>

Configurez le fichier <code>/etc/hosts</code> :
<pre>
# local
127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters

# main
ipdelamachine debian.domain.tld debian
</pre>

Définissez les hostnames dans ces fichiers :
<pre>
# Pour celui la : non-fqdn
echo debian > /etc/hostname
# Pour celui la : fqdn
echo debian.domain.tld > /etc/mailname
</pre>

N'oubliez pas de configurer les dns (ceux de votre hébergeur dédié) dans <code>/etc/resolv.conf</code> :
<pre>nameserver XX.XX.XX.XX</pre>

Installez postfix :
<pre>
hostname -F /etc/hostname
apt install postfix
</pre>

Enfin, comme nous installons notre partition de boot sur un raid software, il faut installer <code>madadm</code> à ce stade :
<pre>apt install mdadm</pre>

Vérifiez si votre array root s'est bien défini automatiquement dans <code>/etc/mdadm/mdadm.conf</code>. Si ce n'est pas me cas, ajoutez la configuration de l'array manuellement :
<pre>mdadm --examine --scan >> /etc/mdadm/mdadm.conf</pre>

==Installation du kernel==

===Possibilité 1 : Partitions GPT pour EFI / UEFI===

Vérifiez que <code>/boot/efi</code> est bien monté. Si ce n'est pas le cas, faites le.

Installez le kernel proxmox :
<pre>
apt install linux-image-amd64 grub-efi-amd64 gdisk
</pre>

Supprimez les paquets suivant si vous n'avez pas besoin de secureboot :
<pre>apt purge grub-efi-amd64-signed mokutil shim-helpers-amd64-signed shim-signed shim-signed-common shim-unsigned</pre>

Normalement tout doit se faire avec des promps (<code>dpkg-reconfigure grub-efi-amd64</code>). Si ce n'était pas le cas :
<pre>grub-install --bootloader-id=debian</pre>

Si jamais vous utilisez un démarrage en PXE (c'est le cas sur un serveur OVH par exemple), utilisez l'argument <code>--no-nvram</code> pour empêcher grub de mettre à jour la NVRAM et casser votre mécanique de démarrage PXE :
<pre>grub-install --bootloader-id=debian --no-nvram</pre>

Etant donné que seul <code>/dev/sda1</code> est monté sur <code>/boot/efi</code>, il faut transférer manuellement les données sur <code>/dev/sdb1</code> :
<pre>
mount /dev/sdb1 /mnt
rsync -av /boot/efi/ /mnt/
umount /mnt
</pre>

===Possibilité 2 : Partitions GPT pour BIOS OU Partitions MBR pour BIOS===

<pre>
apt install linux-image-amd64 grub-pc gdisk
</pre>

Lorsqu'on vous demandera où installer grub, choisissez <code>sda</code> ET <code>sdb</code>. Sinon :
<pre>
grub-install /dev/sda
grub-install /dev/sdb
</pre>

==Installation de proxmox - OpenSSH==

Installez openssh et définissez votre clé ssh.
<pre>
hostname -F /etc/hostname
apt install openssh-server
echo "votre clé ssh" > /root/.ssh/authorized_keys
</pre>

==Vérifications finales et redémarrage sur le kernel==

Si vous avez une configuration particulière à entrer dans <code>/etc/default/grub</code>, faites le maintenant. Par exemple :
<pre>
GRUB_CMDLINE_LINUX="nomodeset iommu=pt"
</pre>

Puis régénérez la configuration de grub :
<pre>update-grub</pre>

Vous pouvez vérifier que votre fstab est valide avec :
<pre>findmnt --verify --verbose</pre>

Vous pouvez maintenant sortir de votre chroot et démonter le système de fichier

<pre>
umount /boot/efi/
exit
umount /mnt/sys
umount /mnt/dev/pts
umount /mnt/dev
umount /mnt/proc
umount /mnt
</pre>

**Enfin, redémarrez le serveur sur le disque dur.**

Debootstrap

2026-10-08T10:58:32Z

Pfoo : /* Installation de debian */

[[category:debian]]
[[category:serveur]]
[[Category:trixie]]
Debootstrap permet d'installer une distribution debian sur un point de montage en utilisant une debian en service.

=Prérequis=

Ce tutoriel se base sur l'utilisation de debootstrap pour installer une base de système d'exploitation debian. La plupart des hébergeurs proposent un système de "rescue" permettant l'installation de debian par ce moyen.
Si vous ne disposez pas de mode rescue, vous pouvez toujours utiliser l'installeur proposé par votre hébergeur, ou encore passer par un kvm pour installer vous même le système avec l'iso de debian.

=Pour les débutants=

Si vous êtes débutant en administration linux, je vous conseil de sauvegarder quelque part les fichier suivant issu d'une précédente installation de debian ou de proxmox
* <code>/etc/networks</code>
* <code>/etc/network/interfaces</code>
* <code>/etc/resolv.conf</code>
* <code>/etc/hosts</code>
* <code>/etc/fstab</code>
* <code>/etc/mdadm/mdadm.conf</code> si vous disposez d'un raid logiciel
* tout fichier de personnalisation de grub (<code>/etc/grub.d/</code> par exemple)

Cela vous permettra de vous faire une idée plus précise de ce qui doit figurer dans ces différents fichiers.

=Partitionnement et système de fichier=

Voici le partitionnement que je vais utiliser :
* Partition root (/) de 20 Go (/) en raid 1 sur les disques sda et sdb
* Partitions swap de 4096 Go chacune réparties sur sda et sdb
* Le reste de l'espace sera utilisé plus tard pour un LVM dédié aux VMs

==Partitionnement==

===Possibilité 1 : Partitionnement GPT pour EFI / UEFI===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions EFI (ESP), obligatoire pour le démarrage EFI/UEFI. Il faudra leur attribuer le type <code>EF00</code>. Pour assurer une bonne compatibilité avec les multiples firmwares EFI, il est recommandé de leur attribuer une taille de 512 MiB (+512M au prompt gdisk).
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

 

Pour les partitions EFI, nous créons un système de fichier FAT32 avec le label (nom) <code>EFI_SYSPART</code> :
<pre>
mkfs.fat -F 32 -n EFI_SYSPART /dev/sda1
mkfs.fat -F 32 -n EFI_SYSPART /dev/sdb1
</pre>

===Possibilité 2 : Partitionnement GPT pour BIOS===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions pour le bootloader. Il faudra leur attribuer le type <code>EF02</code>. On peut la créer idéalement du secteur 34 au secteur 2047 du disque.
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

Notez que la partition du bootloader ne doit pas être formatée.

===Possibilité 3 : partitionnement MBR pour BIOS (non prise en charge dans ce wiki)===

A titre informatif : création avec <code>parted</code>, sans nécessité de créer une partition dédiée au bootloader/grub : créez juste la partition root et swap.

==Création du RAID==

Pour des raisons esthétiques, définissez l'hostname de votre système de rescue :
<pre>hostname debian</pre>

Pour créer votre raid 1 avec 2 disques :
<pre>
mdadm --create --verbose /dev/md2 --level=1 --raid-devices=2 /dev/sda2 /dev/sdb2
</pre>

Notez que si vous souhaitez utiliser plus que 2 disques, il faut augmenter la valeur de <code>--raid-devices</code> et ajouter les partitions des disques à la suite.

Attendez que le raid soit synchronisé avant de continuer. Vous pouvez surveiller facilement cela avec la commande <code>watch cat /proc/mdstat</code>.

==Création des systèmes de fichiers==

Créez un système de fichier ext4 pour le raid du root :
<pre>
mkfs.ext4 /dev/md2
</pre>

Enfin, initialisez les swaps :
<pre>
mkswap /dev/sda3
mkswap /dev/sdb3
</pre>

=Installation de debian=

==Installation du système de base==

Nous débutons par installer le système de base de Debian avec <code>debootstrap</code>

Installez les paquets nécessaires dans votre rescue :
<pre>apt install debootstrap debian-archive-keyring</pre>

Montez votre partition raid root sur <code>/mnt</code> :
<pre>
mount /dev/md2 /mnt
</pre>

Installez le système de base debian, version bookworm :
<pre>debootstrap --arch=amd64 --include=openssl,ca-certificates trixie /mnt http://deb.debian.org/debian</pre>

==Configuration de Debian==

Montez les vfs suivants, puis chrootez dans votre nouveau système debian :
<pre>
mount -o bind /proc /mnt/proc
mount -o bind /dev /mnt/dev
mount -o bind /dev/pts /mnt/dev/pts
mount -o bind /sys /mnt/sys
#mount -o bind /sys/firmware/efi/efivars /mnt/sys/firmware/efi/efivars
chroot /mnt
</pre>

Configurez les archives apt : éditez le fichier <code>/etc/apt/sources.list.d/debian.sources</code> :
<pre>
# main updates and backports
Types: deb
URIs: https://deb.debian.org/debian
Suites: trixie trixie-updates trixie-backports
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

# security
Types: deb
URIs: https://security.debian.org/debian-security
Suites: trixie-security
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg
</pre>

Mettez à jour les paquets :
<pre>
apt update
apt full-upgrade
</pre>

Installez les locales et la configuration de console :
<pre>
apt install locales
dpkg-reconfigure locales
apt install console-data console-setup-linux console-setup wget
dpkg-reconfigure console-data # from arch > french > latin9)
</pre>

Définissez la zone horaire :
<pre>
tzselect
dpkg-reconfigure tzdata
</pre>

Configurez votre fichier <code>/etc/fstab</code>. 
**Pour GPT pour EFI / UEFI :**
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda1 /boot/efi vfat defaults 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

**Pour GPT pour BIOS :**
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

**Dans le cas d'un partitionnement GPT pour EFI / UEFI** : montez la partition EFI / ESP :
<pre>
mkdir /boot/efi
mount /boot/efi
</pre>

Configurez les interfaces réseaux dans <code>/etc/network/interfaces</code> :
<pre>
# The loopback network interface
auto lo
iface lo inet loopback

auto eno3
iface eno3 inet static
address XXXX/24
gateway XXXX
</pre>

Configurez le fichier <code>/etc/hosts</code> :
<pre>
# local
127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters

# main
ipdelamachine debian.domain.tld debian
</pre>

Définissez les hostnames dans ces fichiers :
<pre>
# Pour celui la : non-fqdn
echo debian > /etc/hostname
# Pour celui la : fqdn
echo debian.domain.tld > /etc/mailname
</pre>

N'oubliez pas de configurer les dns (ceux de votre hébergeur dédié) dans <code>/etc/resolv.conf</code> :
<pre>nameserver XX.XX.XX.XX</pre>

Installez postfix :
<pre>
hostname -F /etc/hostname
apt install postfix
</pre>

Enfin, comme nous installons notre partition de boot sur un raid software, il faut installer <code>madadm</code> à ce stade :
<pre>apt install mdadm</pre>

Vérifiez si votre array root s'est bien défini automatiquement dans <code>/etc/mdadm/mdadm.conf</code>. Si ce n'est pas me cas, ajoutez la configuration de l'array manuellement :
<pre>mdadm --examine --scan >> /etc/mdadm/mdadm.conf</pre>

==Installation du kernel==

===Possibilité 1 : Partitions GPT pour EFI / UEFI===

Vérifiez que <code>/boot/efi</code> est bien monté. Si ce n'est pas le cas, faites le.

Installez le kernel proxmox :
<pre>
apt install linux-image-amd64 grub-efi-amd64 gdisk
</pre>

Supprimez les paquets suivant si vous n'avez pas besoin de secureboot :
<pre>apt purge grub-efi-amd64-signed mokutil shim-helpers-amd64-signed shim-signed shim-signed-common shim-unsigned</pre>

Normalement tout doit se faire avec des promps (<code>dpkg-reconfigure grub-efi-amd64</code>). Si ce n'était pas le cas :
<pre>grub-install --bootloader-id=debian</pre>

Si jamais vous utilisez un démarrage en PXE (c'est le cas sur un serveur OVH par exemple), utilisez l'argument <code>--no-nvram</code> pour empêcher grub de mettre à jour la NVRAM et casser votre mécanique de démarrage PXE :
<pre>grub-install --bootloader-id=debian --no-nvram</pre>

Etant donné que seul <code>/dev/sda1</code> est monté sur <code>/boot/efi</code>, il faut transférer manuellement les données sur <code>/dev/sdb1</code> :
<pre>
mount /dev/sdb1 /mnt
rsync -av /boot/efi/ /mnt/
umount /mnt
</pre>

===Possibilité 2 : Partitions GPT pour BIOS OU Partitions MBR pour BIOS===

<pre>
apt install linux-image-amd64 grub-pc gdisk
</pre>

Lorsqu'on vous demandera où installer grub, choisissez <code>sda</code> ET <code>sdb</code>. Sinon :
<pre>
grub-install /dev/sda
grub-install /dev/sdb
</pre>

==Installation de proxmox - OpenSSH==

Installez openssh et définissez votre clé ssh.
<pre>
hostname -F /etc/hostname
apt install openssh-server
echo "votre clé ssh" > /root/.ssh/authorized_keys
</pre>

==Vérifications finales et redémarrage sur le kernel==

Si vous avez une configuration particulière à entrer dans <code>/etc/default/grub</code>, faites le maintenant. Par exemple :
<pre>
GRUB_CMDLINE_LINUX="nomodeset iommu=pt"
</pre>

Puis régénérez la configuration de grub :
<pre>update-grub</pre>

Vous pouvez vérifier que votre fstab est valide avec :
<pre>findmnt --verify --verbose</pre>

Vous pouvez maintenant sortir de votre chroot et démonter le système de fichier

<pre>
umount /boot/efi/
exit
umount /mnt/sys
umount /mnt/dev/pts
umount /mnt/dev
umount /mnt/proc
umount /mnt
</pre>

**Enfin, redémarrez le serveur sur le disque dur.**

Debootstrap

2026-10-08T10:47:46Z

Pfoo : /* Installation de debian */

[[category:debian]]
[[category:serveur]]
[[Category:trixie]]
Debootstrap permet d'installer une distribution debian sur un point de montage en utilisant une debian en service.

=Prérequis=

Ce tutoriel se base sur l'utilisation de debootstrap pour installer une base de système d'exploitation debian. La plupart des hébergeurs proposent un système de "rescue" permettant l'installation de debian par ce moyen.
Si vous ne disposez pas de mode rescue, vous pouvez toujours utiliser l'installeur proposé par votre hébergeur, ou encore passer par un kvm pour installer vous même le système avec l'iso de debian.

=Pour les débutants=

Si vous êtes débutant en administration linux, je vous conseil de sauvegarder quelque part les fichier suivant issu d'une précédente installation de debian ou de proxmox
* <code>/etc/networks</code>
* <code>/etc/network/interfaces</code>
* <code>/etc/resolv.conf</code>
* <code>/etc/hosts</code>
* <code>/etc/fstab</code>
* <code>/etc/mdadm/mdadm.conf</code> si vous disposez d'un raid logiciel
* tout fichier de personnalisation de grub (<code>/etc/grub.d/</code> par exemple)

Cela vous permettra de vous faire une idée plus précise de ce qui doit figurer dans ces différents fichiers.

=Partitionnement et système de fichier=

Voici le partitionnement que je vais utiliser :
* Partition root (/) de 20 Go (/) en raid 1 sur les disques sda et sdb
* Partitions swap de 4096 Go chacune réparties sur sda et sdb
* Le reste de l'espace sera utilisé plus tard pour un LVM dédié aux VMs

==Partitionnement==

===Possibilité 1 : Partitionnement GPT pour EFI / UEFI===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions EFI (ESP), obligatoire pour le démarrage EFI/UEFI. Il faudra leur attribuer le type <code>EF00</code>. Pour assurer une bonne compatibilité avec les multiples firmwares EFI, il est recommandé de leur attribuer une taille de 512 MiB (+512M au prompt gdisk).
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

 

Pour les partitions EFI, nous créons un système de fichier FAT32 avec le label (nom) <code>EFI_SYSPART</code> :
<pre>
mkfs.fat -F 32 -n EFI_SYSPART /dev/sda1
mkfs.fat -F 32 -n EFI_SYSPART /dev/sdb1
</pre>

===Possibilité 2 : Partitionnement GPT pour BIOS===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions pour le bootloader. Il faudra leur attribuer le type <code>EF02</code>. On peut la créer idéalement du secteur 34 au secteur 2047 du disque.
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

Notez que la partition du bootloader ne doit pas être formatée.

===Possibilité 3 : partitionnement MBR pour BIOS (non prise en charge dans ce wiki)===

A titre informatif : création avec <code>parted</code>, sans nécessité de créer une partition dédiée au bootloader/grub : créez juste la partition root et swap.

==Création du RAID==

Pour des raisons esthétiques, définissez l'hostname de votre système de rescue :
<pre>hostname debian</pre>

Pour créer votre raid 1 avec 2 disques :
<pre>
mdadm --create --verbose /dev/md2 --level=1 --raid-devices=2 /dev/sda2 /dev/sdb2
</pre>

Notez que si vous souhaitez utiliser plus que 2 disques, il faut augmenter la valeur de <code>--raid-devices</code> et ajouter les partitions des disques à la suite.

Attendez que le raid soit synchronisé avant de continuer. Vous pouvez surveiller facilement cela avec la commande <code>watch cat /proc/mdstat</code>.

==Création des systèmes de fichiers==

Créez un système de fichier ext4 pour le raid du root :
<pre>
mkfs.ext4 /dev/md2
</pre>

Enfin, initialisez les swaps :
<pre>
mkswap /dev/sda3
mkswap /dev/sdb3
</pre>

=Installation de debian=

==Installation du système de base==

Nous débutons par installer le système de base de Debian avec <code>debootstrap</code>

Installez les paquets nécessaires dans votre rescue :
<pre>apt install debootstrap debian-archive-keyring</pre>

Montez votre partition raid root sur <code>/mnt</code> :
<pre>
mount /dev/md2 /mnt
</pre>

Installez le système de base debian, version bookworm :
<pre>debootstrap --arch=amd64 --include=openssl trixie /mnt http://ftp.fr.debian.org/debian</pre>

==Configuration de Debian==

Montez les vfs suivants, puis chrootez dans votre nouveau système debian :
<pre>
mount -o bind /proc /mnt/proc
mount -o bind /dev /mnt/dev
mount -o bind /dev/pts /mnt/dev/pts
mount -o bind /sys /mnt/sys
#mount -o bind /sys/firmware/efi/efivars /mnt/sys/firmware/efi/efivars
chroot /mnt
</pre>

Configurez les archives apt : éditez le fichier <code>/etc/apt/sources.list.d/debian.sources</code> :
<pre>
# main updates and backports
Types: deb
URIs: https://deb.debian.org/debian
Suites: trixie trixie-updates trixie-backports
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

# security
Types: deb
URIs: https://security.debian.org/debian-security
Suites: trixie-security
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg
</pre>

Mettez à jour les paquets :
<pre>
apt update
apt full-upgrade
</pre>

Installez les locales et la configuration de console :
<pre>
apt install locales
dpkg-reconfigure locales
apt install console-data console-setup-linux console-setup wget
dpkg-reconfigure console-data # from arch > french > latin9)
</pre>

Définissez la zone horaire :
<pre>
tzselect
dpkg-reconfigure tzdata
</pre>

Configurez votre fichier <code>/etc/fstab</code>. 
**Pour GPT pour EFI / UEFI :**
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda1 /boot/efi vfat defaults 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

**Pour GPT pour BIOS :**
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

**Dans le cas d'un partitionnement GPT pour EFI / UEFI** : montez la partition EFI / ESP :
<pre>
mkdir /boot/efi
mount /boot/efi
</pre>

Configurez les interfaces réseaux dans <code>/etc/network/interfaces</code> :
<pre>
# The loopback network interface
auto lo
iface lo inet loopback

auto eno3
iface eno3 inet static
address XXXX/24
gateway XXXX
</pre>

Configurez le fichier <code>/etc/hosts</code> :
<pre>
# local
127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters

# main
ipdelamachine debian.domain.tld debian
</pre>

Définissez les hostnames dans ces fichiers :
<pre>
# Pour celui la : non-fqdn
echo debian > /etc/hostname
# Pour celui la : fqdn
echo debian.domain.tld > /etc/mailname
</pre>

N'oubliez pas de configurer les dns (ceux de votre hébergeur dédié) dans <code>/etc/resolv.conf</code> :
<pre>nameserver XX.XX.XX.XX</pre>

Installez postfix :
<pre>
hostname -F /etc/hostname
apt install postfix
</pre>

Enfin, comme nous installons notre partition de boot sur un raid software, il faut installer <code>madadm</code> à ce stade :
<pre>apt install mdadm</pre>

Vérifiez si votre array root s'est bien défini automatiquement dans <code>/etc/mdadm/mdadm.conf</code>. Si ce n'est pas me cas, ajoutez la configuration de l'array manuellement :
<pre>mdadm --examine --scan >> /etc/mdadm/mdadm.conf</pre>

==Installation du kernel==

===Possibilité 1 : Partitions GPT pour EFI / UEFI===

Vérifiez que <code>/boot/efi</code> est bien monté. Si ce n'est pas le cas, faites le.

Installez le kernel proxmox :
<pre>
apt install linux-image-amd64 grub-efi-amd64 gdisk
</pre>

Supprimez les paquets suivant si vous n'avez pas besoin de secureboot :
<pre>apt purge grub-efi-amd64-signed mokutil shim-helpers-amd64-signed shim-signed shim-signed-common shim-unsigned</pre>

Normalement tout doit se faire avec des promps (<code>dpkg-reconfigure grub-efi-amd64</code>). Si ce n'était pas le cas :
<pre>grub-install --bootloader-id=debian</pre>

Si jamais vous utilisez un démarrage en PXE (c'est le cas sur un serveur OVH par exemple), utilisez l'argument <code>--no-nvram</code> pour empêcher grub de mettre à jour la NVRAM et casser votre mécanique de démarrage PXE :
<pre>grub-install --bootloader-id=debian --no-nvram</pre>

Etant donné que seul <code>/dev/sda1</code> est monté sur <code>/boot/efi</code>, il faut transférer manuellement les données sur <code>/dev/sdb1</code> :
<pre>
mount /dev/sdb1 /mnt
rsync -av /boot/efi/ /mnt/
umount /mnt
</pre>

===Possibilité 2 : Partitions GPT pour BIOS OU Partitions MBR pour BIOS===

<pre>
apt install linux-image-amd64 grub-pc gdisk
</pre>

Lorsqu'on vous demandera où installer grub, choisissez <code>sda</code> ET <code>sdb</code>. Sinon :
<pre>
grub-install /dev/sda
grub-install /dev/sdb
</pre>

==Installation de proxmox - OpenSSH==

Installez openssh et définissez votre clé ssh.
<pre>
hostname -F /etc/hostname
apt install openssh-server
echo "votre clé ssh" > /root/.ssh/authorized_keys
</pre>

==Vérifications finales et redémarrage sur le kernel==

Si vous avez une configuration particulière à entrer dans <code>/etc/default/grub</code>, faites le maintenant. Par exemple :
<pre>
GRUB_CMDLINE_LINUX="nomodeset iommu=pt"
</pre>

Puis régénérez la configuration de grub :
<pre>update-grub</pre>

Vous pouvez vérifier que votre fstab est valide avec :
<pre>findmnt --verify --verbose</pre>

Vous pouvez maintenant sortir de votre chroot et démonter le système de fichier

<pre>
umount /boot/efi/
exit
umount /mnt/sys
umount /mnt/dev/pts
umount /mnt/dev
umount /mnt/proc
umount /mnt
</pre>

**Enfin, redémarrez le serveur sur le disque dur.**

Debootstrap

2026-10-08T10:21:16Z

Pfoo : /* Configuration de Debian */

[[category:debian]]
[[category:serveur]]
[[Category:trixie]]
Debootstrap permet d'installer une distribution debian sur un point de montage en utilisant une debian en service.

=Prérequis=

Ce tutoriel se base sur l'utilisation de debootstrap pour installer une base de système d'exploitation debian. La plupart des hébergeurs proposent un système de "rescue" permettant l'installation de debian par ce moyen.
Si vous ne disposez pas de mode rescue, vous pouvez toujours utiliser l'installeur proposé par votre hébergeur, ou encore passer par un kvm pour installer vous même le système avec l'iso de debian.

=Pour les débutants=

Si vous êtes débutant en administration linux, je vous conseil de sauvegarder quelque part les fichier suivant issu d'une précédente installation de debian ou de proxmox
* <code>/etc/networks</code>
* <code>/etc/network/interfaces</code>
* <code>/etc/resolv.conf</code>
* <code>/etc/hosts</code>
* <code>/etc/fstab</code>
* <code>/etc/mdadm/mdadm.conf</code> si vous disposez d'un raid logiciel
* tout fichier de personnalisation de grub (<code>/etc/grub.d/</code> par exemple)

Cela vous permettra de vous faire une idée plus précise de ce qui doit figurer dans ces différents fichiers.

=Partitionnement et système de fichier=

Voici le partitionnement que je vais utiliser :
* Partition root (/) de 20 Go (/) en raid 1 sur les disques sda et sdb
* Partitions swap de 4096 Go chacune réparties sur sda et sdb
* Le reste de l'espace sera utilisé plus tard pour un LVM dédié aux VMs

==Partitionnement==

===Possibilité 1 : Partitionnement GPT pour EFI / UEFI===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions EFI (ESP), obligatoire pour le démarrage EFI/UEFI. Il faudra leur attribuer le type <code>EF00</code>. Pour assurer une bonne compatibilité avec les multiples firmwares EFI, il est recommandé de leur attribuer une taille de 512 MiB (+512M au prompt gdisk).
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

 

Pour les partitions EFI, nous créons un système de fichier FAT32 avec le label (nom) <code>EFI_SYSPART</code> :
<pre>
mkfs.fat -F 32 -n EFI_SYSPART /dev/sda1
mkfs.fat -F 32 -n EFI_SYSPART /dev/sdb1
</pre>

===Possibilité 2 : Partitionnement GPT pour BIOS===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions pour le bootloader. Il faudra leur attribuer le type <code>EF02</code>. On peut la créer idéalement du secteur 34 au secteur 2047 du disque.
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

Notez que la partition du bootloader ne doit pas être formatée.

===Possibilité 3 : partitionnement MBR pour BIOS (non prise en charge dans ce wiki)===

A titre informatif : création avec <code>parted</code>, sans nécessité de créer une partition dédiée au bootloader/grub : créez juste la partition root et swap.

==Création du RAID==

Pour des raisons esthétiques, définissez l'hostname de votre système de rescue :
<pre>hostname debian</pre>

Pour créer votre raid 1 avec 2 disques :
<pre>
mdadm --create --verbose /dev/md2 --level=1 --raid-devices=2 /dev/sda2 /dev/sdb2
</pre>

Notez que si vous souhaitez utiliser plus que 2 disques, il faut augmenter la valeur de <code>--raid-devices</code> et ajouter les partitions des disques à la suite.

Attendez que le raid soit synchronisé avant de continuer. Vous pouvez surveiller facilement cela avec la commande <code>watch cat /proc/mdstat</code>.

==Création des systèmes de fichiers==

Créez un système de fichier ext4 pour le raid du root :
<pre>
mkfs.ext4 /dev/md2
</pre>

Enfin, initialisez les swaps :
<pre>
mkswap /dev/sda3
mkswap /dev/sdb3
</pre>

=Installation de debian=

==Installation du système de base==

Nous débutons par installer le système de base de Debian avec <code>debootstrap</code>

Installez les paquets nécessaires dans votre rescue :
<pre>apt install debootstrap debian-archive-keyring</pre>

Montez votre partition raid root sur <code>/mnt</code> :
<pre>
mount /dev/md2 /mnt
</pre>

Installez le système de base debian, version bookworm :
<pre>debootstrap --arch=amd64 trixie /mnt http://ftp.fr.debian.org/debian --include=openssl</pre>

==Configuration de Debian==

Montez les vfs suivants, puis chrootez dans votre nouveau système debian :
<pre>
mount -o bind /proc /mnt/proc
mount -o bind /dev /mnt/dev
mount -o bind /dev/pts /mnt/dev/pts
mount -o bind /sys /mnt/sys
#mount -o bind /sys/firmware/efi/efivars /mnt/sys/firmware/efi/efivars
chroot /mnt
</pre>

Configurez les archives apt : éditez le fichier <code>/etc/apt/sources.list.d/debian.sources</code> :
<pre>
# main updates and backports
Types: deb
URIs: https://deb.debian.org/debian
Suites: trixie trixie-updates trixie-backports
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

# security
Types: deb
URIs: https://security.debian.org/debian-security
Suites: trixie-security
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg
</pre>

Mettez à jour les paquets :
<pre>
apt update
apt full-upgrade
</pre>

Installez les locales et la configuration de console :
<pre>
apt install locales
dpkg-reconfigure locales
apt install console-data console-setup-linux console-setup wget
dpkg-reconfigure console-data # from arch > french > latin9)
</pre>

Définissez la zone horaire :
<pre>
tzselect
dpkg-reconfigure tzdata
</pre>

Configurez votre fichier <code>/etc/fstab</code>. 
**Pour GPT pour EFI / UEFI :**
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda1 /boot/efi vfat defaults 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

**Pour GPT pour BIOS :**
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

**Dans le cas d'un partitionnement GPT pour EFI / UEFI** : montez la partition EFI / ESP :
<pre>
mkdir /boot/efi
mount /boot/efi
</pre>

Configurez les interfaces réseaux dans <code>/etc/network/interfaces</code> :
<pre>
# The loopback network interface
auto lo
iface lo inet loopback

auto eno3
iface eno3 inet static
address XXXX/24
gateway XXXX
</pre>

Configurez le fichier <code>/etc/hosts</code> :
<pre>
# local
127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters

# main
ipdelamachine debian.domain.tld debian
</pre>

Définissez les hostnames dans ces fichiers :
<pre>
# Pour celui la : non-fqdn
echo debian > /etc/hostname
# Pour celui la : fqdn
echo debian.domain.tld > /etc/mailname
</pre>

N'oubliez pas de configurer les dns (ceux de votre hébergeur dédié) dans <code>/etc/resolv.conf</code> :
<pre>nameserver XX.XX.XX.XX</pre>

Installez postfix :
<pre>
hostname -F /etc/hostname
apt install postfix
</pre>

Enfin, comme nous installons notre partition de boot sur un raid software, il faut installer <code>madadm</code> à ce stade :
<pre>apt install mdadm</pre>

Vérifiez si votre array root s'est bien défini automatiquement dans <code>/etc/mdadm/mdadm.conf</code>. Si ce n'est pas me cas, ajoutez la configuration de l'array manuellement :
<pre>mdadm --examine --scan >> /etc/mdadm/mdadm.conf</pre>

==Installation du kernel==

===Possibilité 1 : Partitions GPT pour EFI / UEFI===

Vérifiez que <code>/boot/efi</code> est bien monté. Si ce n'est pas le cas, faites le.

Installez le kernel proxmox :
<pre>
apt install linux-image-amd64 grub-efi-amd64 gdisk
</pre>

Supprimez les paquets suivant si vous n'avez pas besoin de secureboot :
<pre>apt purge grub-efi-amd64-signed mokutil shim-helpers-amd64-signed shim-signed shim-signed-common shim-unsigned</pre>

Normalement tout doit se faire avec des promps (<code>dpkg-reconfigure grub-efi-amd64</code>). Si ce n'était pas le cas :
<pre>grub-install --bootloader-id=debian</pre>

Si jamais vous utilisez un démarrage en PXE (c'est le cas sur un serveur OVH par exemple), utilisez l'argument <code>--no-nvram</code> pour empêcher grub de mettre à jour la NVRAM et casser votre mécanique de démarrage PXE :
<pre>grub-install --bootloader-id=debian --no-nvram</pre>

Etant donné que seul <code>/dev/sda1</code> est monté sur <code>/boot/efi</code>, il faut transférer manuellement les données sur <code>/dev/sdb1</code> :
<pre>
mount /dev/sdb1 /mnt
rsync -av /boot/efi/ /mnt/
umount /mnt
</pre>

===Possibilité 2 : Partitions GPT pour BIOS OU Partitions MBR pour BIOS===

<pre>
apt install linux-image-amd64 grub-pc gdisk
</pre>

Lorsqu'on vous demandera où installer grub, choisissez <code>sda</code> ET <code>sdb</code>. Sinon :
<pre>
grub-install /dev/sda
grub-install /dev/sdb
</pre>

==Installation de proxmox - OpenSSH==

Installez openssh et définissez votre clé ssh.
<pre>
hostname -F /etc/hostname
apt install openssh-server
echo "votre clé ssh" > /root/.ssh/authorized_keys
</pre>

==Vérifications finales et redémarrage sur le kernel==

Si vous avez une configuration particulière à entrer dans <code>/etc/default/grub</code>, faites le maintenant. Par exemple :
<pre>
GRUB_CMDLINE_LINUX="nomodeset iommu=pt"
</pre>

Puis régénérez la configuration de grub :
<pre>update-grub</pre>

Vous pouvez vérifier que votre fstab est valide avec :
<pre>findmnt --verify --verbose</pre>

Vous pouvez maintenant sortir de votre chroot et démonter le système de fichier

<pre>
umount /boot/efi/
exit
umount /mnt/sys
umount /mnt/dev/pts
umount /mnt/dev
umount /mnt/proc
umount /mnt
</pre>

**Enfin, redémarrez le serveur sur le disque dur.**

Debootstrap

2026-10-08T09:34:52Z

Pfoo : /* Installation du kernel */

[[category:debian]]
[[category:serveur]]
[[Category:trixie]]
Debootstrap permet d'installer une distribution debian sur un point de montage en utilisant une debian en service.

=Prérequis=

Ce tutoriel se base sur l'utilisation de debootstrap pour installer une base de système d'exploitation debian. La plupart des hébergeurs proposent un système de "rescue" permettant l'installation de debian par ce moyen.
Si vous ne disposez pas de mode rescue, vous pouvez toujours utiliser l'installeur proposé par votre hébergeur, ou encore passer par un kvm pour installer vous même le système avec l'iso de debian.

=Pour les débutants=

Si vous êtes débutant en administration linux, je vous conseil de sauvegarder quelque part les fichier suivant issu d'une précédente installation de debian ou de proxmox
* <code>/etc/networks</code>
* <code>/etc/network/interfaces</code>
* <code>/etc/resolv.conf</code>
* <code>/etc/hosts</code>
* <code>/etc/fstab</code>
* <code>/etc/mdadm/mdadm.conf</code> si vous disposez d'un raid logiciel
* tout fichier de personnalisation de grub (<code>/etc/grub.d/</code> par exemple)

Cela vous permettra de vous faire une idée plus précise de ce qui doit figurer dans ces différents fichiers.

=Partitionnement et système de fichier=

Voici le partitionnement que je vais utiliser :
* Partition root (/) de 20 Go (/) en raid 1 sur les disques sda et sdb
* Partitions swap de 4096 Go chacune réparties sur sda et sdb
* Le reste de l'espace sera utilisé plus tard pour un LVM dédié aux VMs

==Partitionnement==

===Possibilité 1 : Partitionnement GPT pour EFI / UEFI===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions EFI (ESP), obligatoire pour le démarrage EFI/UEFI. Il faudra leur attribuer le type <code>EF00</code>. Pour assurer une bonne compatibilité avec les multiples firmwares EFI, il est recommandé de leur attribuer une taille de 512 MiB (+512M au prompt gdisk).
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

 

Pour les partitions EFI, nous créons un système de fichier FAT32 avec le label (nom) <code>EFI_SYSPART</code> :
<pre>
mkfs.fat -F 32 -n EFI_SYSPART /dev/sda1
mkfs.fat -F 32 -n EFI_SYSPART /dev/sdb1
</pre>

===Possibilité 2 : Partitionnement GPT pour BIOS===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions pour le bootloader. Il faudra leur attribuer le type <code>EF02</code>. On peut la créer idéalement du secteur 34 au secteur 2047 du disque.
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

Notez que la partition du bootloader ne doit pas être formatée.

===Possibilité 3 : partitionnement MBR pour BIOS (non prise en charge dans ce wiki)===

A titre informatif : création avec <code>parted</code>, sans nécessité de créer une partition dédiée au bootloader/grub : créez juste la partition root et swap.

==Création du RAID==

Pour des raisons esthétiques, définissez l'hostname de votre système de rescue :
<pre>hostname debian</pre>

Pour créer votre raid 1 avec 2 disques :
<pre>
mdadm --create --verbose /dev/md2 --level=1 --raid-devices=2 /dev/sda2 /dev/sdb2
</pre>

Notez que si vous souhaitez utiliser plus que 2 disques, il faut augmenter la valeur de <code>--raid-devices</code> et ajouter les partitions des disques à la suite.

Attendez que le raid soit synchronisé avant de continuer. Vous pouvez surveiller facilement cela avec la commande <code>watch cat /proc/mdstat</code>.

==Création des systèmes de fichiers==

Créez un système de fichier ext4 pour le raid du root :
<pre>
mkfs.ext4 /dev/md2
</pre>

Enfin, initialisez les swaps :
<pre>
mkswap /dev/sda3
mkswap /dev/sdb3
</pre>

=Installation de debian=

==Installation du système de base==

Nous débutons par installer le système de base de Debian avec <code>debootstrap</code>

Installez les paquets nécessaires dans votre rescue :
<pre>apt install debootstrap debian-archive-keyring</pre>

Montez votre partition raid root sur <code>/mnt</code> :
<pre>
mount /dev/md2 /mnt
</pre>

Installez le système de base debian, version bookworm :
<pre>debootstrap --arch=amd64 trixie /mnt http://ftp.fr.debian.org/debian --include=openssl</pre>

==Configuration de Debian==

Montez les vfs suivants, puis chrootez dans votre nouveau système debian :
<pre>
mount -o bind /proc /mnt/proc
mount -o bind /dev /mnt/dev
mount -o bind /dev/pts /mnt/dev/pts
mount -o bind /sys /mnt/sys
chroot /mnt
</pre>

Configurez les archives apt : éditez le fichier <code>/etc/apt/sources.list.d/debian.sources</code> :
<pre>
# main updates and backports
Types: deb
URIs: https://deb.debian.org/debian
Suites: trixie trixie-updates trixie-backports
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

# security
Types: deb
URIs: https://security.debian.org/debian-security
Suites: trixie-security
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg
</pre>

Mettez à jour les paquets :
<pre>
apt update
apt full-upgrade
</pre>

Installez les locales et la configuration de console :
<pre>
apt install locales
dpkg-reconfigure locales
apt install console-data console-setup-linux console-setup wget
dpkg-reconfigure console-data # from arch > french > latin9)
</pre>

Définissez la zone horaire :
<pre>
tzselect
dpkg-reconfigure tzdata
</pre>

Configurez votre fichier <code>/etc/fstab</code>. 
**Pour GPT pour EFI / UEFI :**
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda1 /boot/efi vfat defaults 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

**Pour GPT pour BIOS :**
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

**Dans le cas d'un partitionnement GPT pour EFI / UEFI** : montez la partition EFI / ESP :
<pre>
mkdir /boot/efi
mount /boot/efi
</pre>

Configurez les interfaces réseaux dans <code>/etc/network/interfaces</code> :
<pre>
# The loopback network interface
auto lo
iface lo inet loopback

auto eno3
iface eno3 inet static
address XXXX/24
gateway XXXX
</pre>

Configurez le fichier <code>/etc/hosts</code> :
<pre>
# local
127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters

# main
ipdelamachine debian.domain.tld debian
</pre>

Définissez les hostnames dans ces fichiers :
<pre>
# Pour celui la : non-fqdn
echo debian > /etc/hostname
# Pour celui la : fqdn
echo debian.domain.tld > /etc/mailname
</pre>

N'oubliez pas de configurer les dns (ceux de votre hébergeur dédié) dans <code>/etc/resolv.conf</code> :
<pre>nameserver XX.XX.XX.XX</pre>

Installez postfix :
<pre>
hostname -F /etc/hostname
apt install postfix
</pre>

Enfin, comme nous installons notre partition de boot sur un raid software, il faut installer <code>madadm</code> à ce stade :
<pre>apt install mdadm</pre>

Vérifiez si votre array root s'est bien défini automatiquement dans <code>/etc/mdadm/mdadm.conf</code>. Si ce n'est pas me cas, ajoutez la configuration de l'array manuellement :
<pre>mdadm --examine --scan >> /etc/mdadm/mdadm.conf</pre>

==Installation du kernel==

===Possibilité 1 : Partitions GPT pour EFI / UEFI===

Vérifiez que <code>/boot/efi</code> est bien monté. Si ce n'est pas le cas, faites le.

Installez le kernel proxmox :
<pre>
apt install linux-image-amd64 grub-efi-amd64 gdisk
</pre>

Supprimez les paquets suivant si vous n'avez pas besoin de secureboot :
<pre>apt purge grub-efi-amd64-signed mokutil shim-helpers-amd64-signed shim-signed shim-signed-common shim-unsigned</pre>

Normalement tout doit se faire avec des promps (<code>dpkg-reconfigure grub-efi-amd64</code>). Si ce n'était pas le cas :
<pre>grub-install --bootloader-id=debian</pre>

Si jamais vous utilisez un démarrage en PXE (c'est le cas sur un serveur OVH par exemple), utilisez l'argument <code>--no-nvram</code> pour empêcher grub de mettre à jour la NVRAM et casser votre mécanique de démarrage PXE :
<pre>grub-install --bootloader-id=debian --no-nvram</pre>

Etant donné que seul <code>/dev/sda1</code> est monté sur <code>/boot/efi</code>, il faut transférer manuellement les données sur <code>/dev/sdb1</code> :
<pre>
mount /dev/sdb1 /mnt
rsync -av /boot/efi/ /mnt/
umount /mnt
</pre>

===Possibilité 2 : Partitions GPT pour BIOS OU Partitions MBR pour BIOS===

<pre>
apt install linux-image-amd64 grub-pc gdisk
</pre>

Lorsqu'on vous demandera où installer grub, choisissez <code>sda</code> ET <code>sdb</code>. Sinon :
<pre>
grub-install /dev/sda
grub-install /dev/sdb
</pre>

==Installation de proxmox - OpenSSH==

Installez openssh et définissez votre clé ssh.
<pre>
hostname -F /etc/hostname
apt install openssh-server
echo "votre clé ssh" > /root/.ssh/authorized_keys
</pre>

==Vérifications finales et redémarrage sur le kernel==

Si vous avez une configuration particulière à entrer dans <code>/etc/default/grub</code>, faites le maintenant. Par exemple :
<pre>
GRUB_CMDLINE_LINUX="nomodeset iommu=pt"
</pre>

Puis régénérez la configuration de grub :
<pre>update-grub</pre>

Vous pouvez vérifier que votre fstab est valide avec :
<pre>findmnt --verify --verbose</pre>

Vous pouvez maintenant sortir de votre chroot et démonter le système de fichier

<pre>
umount /boot/efi/
exit
umount /mnt/sys
umount /mnt/dev/pts
umount /mnt/dev
umount /mnt/proc
umount /mnt
</pre>

**Enfin, redémarrez le serveur sur le disque dur.**

Debootstrap

2026-10-08T09:24:30Z

Pfoo : /* Installation de proxmox - OpenSSH */

[[category:debian]]
[[category:serveur]]
[[Category:trixie]]
Debootstrap permet d'installer une distribution debian sur un point de montage en utilisant une debian en service.

=Prérequis=

Ce tutoriel se base sur l'utilisation de debootstrap pour installer une base de système d'exploitation debian. La plupart des hébergeurs proposent un système de "rescue" permettant l'installation de debian par ce moyen.
Si vous ne disposez pas de mode rescue, vous pouvez toujours utiliser l'installeur proposé par votre hébergeur, ou encore passer par un kvm pour installer vous même le système avec l'iso de debian.

=Pour les débutants=

Si vous êtes débutant en administration linux, je vous conseil de sauvegarder quelque part les fichier suivant issu d'une précédente installation de debian ou de proxmox
* <code>/etc/networks</code>
* <code>/etc/network/interfaces</code>
* <code>/etc/resolv.conf</code>
* <code>/etc/hosts</code>
* <code>/etc/fstab</code>
* <code>/etc/mdadm/mdadm.conf</code> si vous disposez d'un raid logiciel
* tout fichier de personnalisation de grub (<code>/etc/grub.d/</code> par exemple)

Cela vous permettra de vous faire une idée plus précise de ce qui doit figurer dans ces différents fichiers.

=Partitionnement et système de fichier=

Voici le partitionnement que je vais utiliser :
* Partition root (/) de 20 Go (/) en raid 1 sur les disques sda et sdb
* Partitions swap de 4096 Go chacune réparties sur sda et sdb
* Le reste de l'espace sera utilisé plus tard pour un LVM dédié aux VMs

==Partitionnement==

===Possibilité 1 : Partitionnement GPT pour EFI / UEFI===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions EFI (ESP), obligatoire pour le démarrage EFI/UEFI. Il faudra leur attribuer le type <code>EF00</code>. Pour assurer une bonne compatibilité avec les multiples firmwares EFI, il est recommandé de leur attribuer une taille de 512 MiB (+512M au prompt gdisk).
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

 

Pour les partitions EFI, nous créons un système de fichier FAT32 avec le label (nom) <code>EFI_SYSPART</code> :
<pre>
mkfs.fat -F 32 -n EFI_SYSPART /dev/sda1
mkfs.fat -F 32 -n EFI_SYSPART /dev/sdb1
</pre>

===Possibilité 2 : Partitionnement GPT pour BIOS===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions pour le bootloader. Il faudra leur attribuer le type <code>EF02</code>. On peut la créer idéalement du secteur 34 au secteur 2047 du disque.
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

Notez que la partition du bootloader ne doit pas être formatée.

===Possibilité 3 : partitionnement MBR pour BIOS (non prise en charge dans ce wiki)===

A titre informatif : création avec <code>parted</code>, sans nécessité de créer une partition dédiée au bootloader/grub : créez juste la partition root et swap.

==Création du RAID==

Pour des raisons esthétiques, définissez l'hostname de votre système de rescue :
<pre>hostname debian</pre>

Pour créer votre raid 1 avec 2 disques :
<pre>
mdadm --create --verbose /dev/md2 --level=1 --raid-devices=2 /dev/sda2 /dev/sdb2
</pre>

Notez que si vous souhaitez utiliser plus que 2 disques, il faut augmenter la valeur de <code>--raid-devices</code> et ajouter les partitions des disques à la suite.

Attendez que le raid soit synchronisé avant de continuer. Vous pouvez surveiller facilement cela avec la commande <code>watch cat /proc/mdstat</code>.

==Création des systèmes de fichiers==

Créez un système de fichier ext4 pour le raid du root :
<pre>
mkfs.ext4 /dev/md2
</pre>

Enfin, initialisez les swaps :
<pre>
mkswap /dev/sda3
mkswap /dev/sdb3
</pre>

=Installation de debian=

==Installation du système de base==

Nous débutons par installer le système de base de Debian avec <code>debootstrap</code>

Installez les paquets nécessaires dans votre rescue :
<pre>apt install debootstrap debian-archive-keyring</pre>

Montez votre partition raid root sur <code>/mnt</code> :
<pre>
mount /dev/md2 /mnt
</pre>

Installez le système de base debian, version bookworm :
<pre>debootstrap --arch=amd64 trixie /mnt http://ftp.fr.debian.org/debian --include=openssl</pre>

==Configuration de Debian==

Montez les vfs suivants, puis chrootez dans votre nouveau système debian :
<pre>
mount -o bind /proc /mnt/proc
mount -o bind /dev /mnt/dev
mount -o bind /dev/pts /mnt/dev/pts
mount -o bind /sys /mnt/sys
chroot /mnt
</pre>

Configurez les archives apt : éditez le fichier <code>/etc/apt/sources.list.d/debian.sources</code> :
<pre>
# main updates and backports
Types: deb
URIs: https://deb.debian.org/debian
Suites: trixie trixie-updates trixie-backports
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

# security
Types: deb
URIs: https://security.debian.org/debian-security
Suites: trixie-security
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg
</pre>

Mettez à jour les paquets :
<pre>
apt update
apt full-upgrade
</pre>

Installez les locales et la configuration de console :
<pre>
apt install locales
dpkg-reconfigure locales
apt install console-data console-setup-linux console-setup wget
dpkg-reconfigure console-data # from arch > french > latin9)
</pre>

Définissez la zone horaire :
<pre>
tzselect
dpkg-reconfigure tzdata
</pre>

Configurez votre fichier <code>/etc/fstab</code>. 
**Pour GPT pour EFI / UEFI :**
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda1 /boot/efi vfat defaults 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

**Pour GPT pour BIOS :**
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

**Dans le cas d'un partitionnement GPT pour EFI / UEFI** : montez la partition EFI / ESP :
<pre>
mkdir /boot/efi
mount /boot/efi
</pre>

Configurez les interfaces réseaux dans <code>/etc/network/interfaces</code> :
<pre>
# The loopback network interface
auto lo
iface lo inet loopback

auto eno3
iface eno3 inet static
address XXXX/24
gateway XXXX
</pre>

Configurez le fichier <code>/etc/hosts</code> :
<pre>
# local
127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters

# main
ipdelamachine debian.domain.tld debian
</pre>

Définissez les hostnames dans ces fichiers :
<pre>
# Pour celui la : non-fqdn
echo debian > /etc/hostname
# Pour celui la : fqdn
echo debian.domain.tld > /etc/mailname
</pre>

N'oubliez pas de configurer les dns (ceux de votre hébergeur dédié) dans <code>/etc/resolv.conf</code> :
<pre>nameserver XX.XX.XX.XX</pre>

Installez postfix :
<pre>
hostname -F /etc/hostname
apt install postfix
</pre>

Enfin, comme nous installons notre partition de boot sur un raid software, il faut installer <code>madadm</code> à ce stade :
<pre>apt install mdadm</pre>

Vérifiez si votre array root s'est bien défini automatiquement dans <code>/etc/mdadm/mdadm.conf</code>. Si ce n'est pas me cas, ajoutez la configuration de l'array manuellement :
<pre>mdadm --examine --scan >> /etc/mdadm/mdadm.conf</pre>

==Installation du kernel==

===Possibilité 1 : Partitions GPT pour EFI / UEFI===

Vérifiez que <code>/boot/efi</code> est bien monté. Si ce n'est pas le cas, faites le.

Installez le kernel proxmox :
<pre>
apt install linux-image-amd64 grub-efi-amd64 gdisk
</pre>

Supprimez les paquets suivant si vous n'avez pas besoin de secureboot :
<pre>apt purge grub-efi-amd64-signed mokutil shim-helpers-amd64-signed shim-signed shim-signed-common shim-unsigned</pre>

Normalement tout doit se faire avec des promps. Si ce n'était pas le cas :
<pre>grub-install --bootloader-id=debian</pre>

Si jamais vous utilisez un démarrage en PXE (c'est le cas sur un serveur OVH par exemple), utilisez l'argument <code>--no-nvram</code> pour empêcher grub de mettre à jour la NVRAM et casser votre mécanique de démarrage PXE :
<pre>grub-install --bootloader-id=debian --no-nvram</pre>

Etant donné que seul <code>/dev/sda1</code> est monté sur <code>/boot/efi</code>, il faut transférer manuellement les données sur <code>/dev/sdb1</code> :
<pre>
mount /dev/sdb1 /mnt
rsync -av /boot/efi/ /mnt/
umount /mnt
</pre>

===Possibilité 2 : Partitions GPT pour BIOS OU Partitions MBR pour BIOS===

<pre>
apt install linux-image-amd64 grub-pc gdisk
</pre>

Lorsqu'on vous demandera où installer grub, choisissez <code>sda</code> ET <code>sdb</code>. Sinon :
<pre>
grub-install /dev/sda
grub-install /dev/sdb
</pre>

==Installation de proxmox - OpenSSH==

Installez openssh et définissez votre clé ssh.
<pre>
hostname -F /etc/hostname
apt install openssh-server
echo "votre clé ssh" > /root/.ssh/authorized_keys
</pre>

==Vérifications finales et redémarrage sur le kernel==

Si vous avez une configuration particulière à entrer dans <code>/etc/default/grub</code>, faites le maintenant. Par exemple :
<pre>
GRUB_CMDLINE_LINUX="nomodeset iommu=pt"
</pre>

Puis régénérez la configuration de grub :
<pre>update-grub</pre>

Vous pouvez vérifier que votre fstab est valide avec :
<pre>findmnt --verify --verbose</pre>

Vous pouvez maintenant sortir de votre chroot et démonter le système de fichier

<pre>
umount /boot/efi/
exit
umount /mnt/sys
umount /mnt/dev/pts
umount /mnt/dev
umount /mnt/proc
umount /mnt
</pre>

**Enfin, redémarrez le serveur sur le disque dur.**

Debootstrap

2026-10-08T09:23:42Z

Pfoo : /* Possibilité 2 : Partitions GPT pour BIOS OU Partitions MBR pour BIOS */

[[category:debian]]
[[category:serveur]]
[[Category:trixie]]
Debootstrap permet d'installer une distribution debian sur un point de montage en utilisant une debian en service.

=Prérequis=

Ce tutoriel se base sur l'utilisation de debootstrap pour installer une base de système d'exploitation debian. La plupart des hébergeurs proposent un système de "rescue" permettant l'installation de debian par ce moyen.
Si vous ne disposez pas de mode rescue, vous pouvez toujours utiliser l'installeur proposé par votre hébergeur, ou encore passer par un kvm pour installer vous même le système avec l'iso de debian.

=Pour les débutants=

Si vous êtes débutant en administration linux, je vous conseil de sauvegarder quelque part les fichier suivant issu d'une précédente installation de debian ou de proxmox
* <code>/etc/networks</code>
* <code>/etc/network/interfaces</code>
* <code>/etc/resolv.conf</code>
* <code>/etc/hosts</code>
* <code>/etc/fstab</code>
* <code>/etc/mdadm/mdadm.conf</code> si vous disposez d'un raid logiciel
* tout fichier de personnalisation de grub (<code>/etc/grub.d/</code> par exemple)

Cela vous permettra de vous faire une idée plus précise de ce qui doit figurer dans ces différents fichiers.

=Partitionnement et système de fichier=

Voici le partitionnement que je vais utiliser :
* Partition root (/) de 20 Go (/) en raid 1 sur les disques sda et sdb
* Partitions swap de 4096 Go chacune réparties sur sda et sdb
* Le reste de l'espace sera utilisé plus tard pour un LVM dédié aux VMs

==Partitionnement==

===Possibilité 1 : Partitionnement GPT pour EFI / UEFI===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions EFI (ESP), obligatoire pour le démarrage EFI/UEFI. Il faudra leur attribuer le type <code>EF00</code>. Pour assurer une bonne compatibilité avec les multiples firmwares EFI, il est recommandé de leur attribuer une taille de 512 MiB (+512M au prompt gdisk).
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

 

Pour les partitions EFI, nous créons un système de fichier FAT32 avec le label (nom) <code>EFI_SYSPART</code> :
<pre>
mkfs.fat -F 32 -n EFI_SYSPART /dev/sda1
mkfs.fat -F 32 -n EFI_SYSPART /dev/sdb1
</pre>

===Possibilité 2 : Partitionnement GPT pour BIOS===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions pour le bootloader. Il faudra leur attribuer le type <code>EF02</code>. On peut la créer idéalement du secteur 34 au secteur 2047 du disque.
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

Notez que la partition du bootloader ne doit pas être formatée.

===Possibilité 3 : partitionnement MBR pour BIOS (non prise en charge dans ce wiki)===

A titre informatif : création avec <code>parted</code>, sans nécessité de créer une partition dédiée au bootloader/grub : créez juste la partition root et swap.

==Création du RAID==

Pour des raisons esthétiques, définissez l'hostname de votre système de rescue :
<pre>hostname debian</pre>

Pour créer votre raid 1 avec 2 disques :
<pre>
mdadm --create --verbose /dev/md2 --level=1 --raid-devices=2 /dev/sda2 /dev/sdb2
</pre>

Notez que si vous souhaitez utiliser plus que 2 disques, il faut augmenter la valeur de <code>--raid-devices</code> et ajouter les partitions des disques à la suite.

Attendez que le raid soit synchronisé avant de continuer. Vous pouvez surveiller facilement cela avec la commande <code>watch cat /proc/mdstat</code>.

==Création des systèmes de fichiers==

Créez un système de fichier ext4 pour le raid du root :
<pre>
mkfs.ext4 /dev/md2
</pre>

Enfin, initialisez les swaps :
<pre>
mkswap /dev/sda3
mkswap /dev/sdb3
</pre>

=Installation de debian=

==Installation du système de base==

Nous débutons par installer le système de base de Debian avec <code>debootstrap</code>

Installez les paquets nécessaires dans votre rescue :
<pre>apt install debootstrap debian-archive-keyring</pre>

Montez votre partition raid root sur <code>/mnt</code> :
<pre>
mount /dev/md2 /mnt
</pre>

Installez le système de base debian, version bookworm :
<pre>debootstrap --arch=amd64 trixie /mnt http://ftp.fr.debian.org/debian --include=openssl</pre>

==Configuration de Debian==

Montez les vfs suivants, puis chrootez dans votre nouveau système debian :
<pre>
mount -o bind /proc /mnt/proc
mount -o bind /dev /mnt/dev
mount -o bind /dev/pts /mnt/dev/pts
mount -o bind /sys /mnt/sys
chroot /mnt
</pre>

Configurez les archives apt : éditez le fichier <code>/etc/apt/sources.list.d/debian.sources</code> :
<pre>
# main updates and backports
Types: deb
URIs: https://deb.debian.org/debian
Suites: trixie trixie-updates trixie-backports
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

# security
Types: deb
URIs: https://security.debian.org/debian-security
Suites: trixie-security
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg
</pre>

Mettez à jour les paquets :
<pre>
apt update
apt full-upgrade
</pre>

Installez les locales et la configuration de console :
<pre>
apt install locales
dpkg-reconfigure locales
apt install console-data console-setup-linux console-setup wget
dpkg-reconfigure console-data # from arch > french > latin9)
</pre>

Définissez la zone horaire :
<pre>
tzselect
dpkg-reconfigure tzdata
</pre>

Configurez votre fichier <code>/etc/fstab</code>. 
**Pour GPT pour EFI / UEFI :**
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda1 /boot/efi vfat defaults 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

**Pour GPT pour BIOS :**
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

**Dans le cas d'un partitionnement GPT pour EFI / UEFI** : montez la partition EFI / ESP :
<pre>
mkdir /boot/efi
mount /boot/efi
</pre>

Configurez les interfaces réseaux dans <code>/etc/network/interfaces</code> :
<pre>
# The loopback network interface
auto lo
iface lo inet loopback

auto eno3
iface eno3 inet static
address XXXX/24
gateway XXXX
</pre>

Configurez le fichier <code>/etc/hosts</code> :
<pre>
# local
127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters

# main
ipdelamachine debian.domain.tld debian
</pre>

Définissez les hostnames dans ces fichiers :
<pre>
# Pour celui la : non-fqdn
echo debian > /etc/hostname
# Pour celui la : fqdn
echo debian.domain.tld > /etc/mailname
</pre>

N'oubliez pas de configurer les dns (ceux de votre hébergeur dédié) dans <code>/etc/resolv.conf</code> :
<pre>nameserver XX.XX.XX.XX</pre>

Installez postfix :
<pre>
hostname -F /etc/hostname
apt install postfix
</pre>

Enfin, comme nous installons notre partition de boot sur un raid software, il faut installer <code>madadm</code> à ce stade :
<pre>apt install mdadm</pre>

Vérifiez si votre array root s'est bien défini automatiquement dans <code>/etc/mdadm/mdadm.conf</code>. Si ce n'est pas me cas, ajoutez la configuration de l'array manuellement :
<pre>mdadm --examine --scan >> /etc/mdadm/mdadm.conf</pre>

==Installation du kernel==

===Possibilité 1 : Partitions GPT pour EFI / UEFI===

Vérifiez que <code>/boot/efi</code> est bien monté. Si ce n'est pas le cas, faites le.

Installez le kernel proxmox :
<pre>
apt install linux-image-amd64 grub-efi-amd64 gdisk
</pre>

Supprimez les paquets suivant si vous n'avez pas besoin de secureboot :
<pre>apt purge grub-efi-amd64-signed mokutil shim-helpers-amd64-signed shim-signed shim-signed-common shim-unsigned</pre>

Normalement tout doit se faire avec des promps. Si ce n'était pas le cas :
<pre>grub-install --bootloader-id=debian</pre>

Si jamais vous utilisez un démarrage en PXE (c'est le cas sur un serveur OVH par exemple), utilisez l'argument <code>--no-nvram</code> pour empêcher grub de mettre à jour la NVRAM et casser votre mécanique de démarrage PXE :
<pre>grub-install --bootloader-id=debian --no-nvram</pre>

Etant donné que seul <code>/dev/sda1</code> est monté sur <code>/boot/efi</code>, il faut transférer manuellement les données sur <code>/dev/sdb1</code> :
<pre>
mount /dev/sdb1 /mnt
rsync -av /boot/efi/ /mnt/
umount /mnt
</pre>

===Possibilité 2 : Partitions GPT pour BIOS OU Partitions MBR pour BIOS===

<pre>
apt install linux-image-amd64 grub-pc gdisk
</pre>

Lorsqu'on vous demandera où installer grub, choisissez <code>sda</code> ET <code>sdb</code>. Sinon :
<pre>
grub-install /dev/sda
grub-install /dev/sdb
</pre>

==Installation de proxmox - OpenSSH==

Installez openssh et définissez votre clé ssh.
<pre>
hostname -F /etc/hostname
apt install openssh-server
echo "votre clé ssh" > /root/.ssh/authorized_keys
</pre>

Debootstrap

2026-10-08T09:22:42Z

Pfoo : /* Configuration de Debian */

[[category:debian]]
[[category:serveur]]
[[Category:trixie]]
Debootstrap permet d'installer une distribution debian sur un point de montage en utilisant une debian en service.

=Prérequis=

Ce tutoriel se base sur l'utilisation de debootstrap pour installer une base de système d'exploitation debian. La plupart des hébergeurs proposent un système de "rescue" permettant l'installation de debian par ce moyen.
Si vous ne disposez pas de mode rescue, vous pouvez toujours utiliser l'installeur proposé par votre hébergeur, ou encore passer par un kvm pour installer vous même le système avec l'iso de debian.

=Pour les débutants=

Si vous êtes débutant en administration linux, je vous conseil de sauvegarder quelque part les fichier suivant issu d'une précédente installation de debian ou de proxmox
* <code>/etc/networks</code>
* <code>/etc/network/interfaces</code>
* <code>/etc/resolv.conf</code>
* <code>/etc/hosts</code>
* <code>/etc/fstab</code>
* <code>/etc/mdadm/mdadm.conf</code> si vous disposez d'un raid logiciel
* tout fichier de personnalisation de grub (<code>/etc/grub.d/</code> par exemple)

Cela vous permettra de vous faire une idée plus précise de ce qui doit figurer dans ces différents fichiers.

=Partitionnement et système de fichier=

Voici le partitionnement que je vais utiliser :
* Partition root (/) de 20 Go (/) en raid 1 sur les disques sda et sdb
* Partitions swap de 4096 Go chacune réparties sur sda et sdb
* Le reste de l'espace sera utilisé plus tard pour un LVM dédié aux VMs

==Partitionnement==

===Possibilité 1 : Partitionnement GPT pour EFI / UEFI===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions EFI (ESP), obligatoire pour le démarrage EFI/UEFI. Il faudra leur attribuer le type <code>EF00</code>. Pour assurer une bonne compatibilité avec les multiples firmwares EFI, il est recommandé de leur attribuer une taille de 512 MiB (+512M au prompt gdisk).
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

 

Pour les partitions EFI, nous créons un système de fichier FAT32 avec le label (nom) <code>EFI_SYSPART</code> :
<pre>
mkfs.fat -F 32 -n EFI_SYSPART /dev/sda1
mkfs.fat -F 32 -n EFI_SYSPART /dev/sdb1
</pre>

===Possibilité 2 : Partitionnement GPT pour BIOS===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions pour le bootloader. Il faudra leur attribuer le type <code>EF02</code>. On peut la créer idéalement du secteur 34 au secteur 2047 du disque.
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

Notez que la partition du bootloader ne doit pas être formatée.

===Possibilité 3 : partitionnement MBR pour BIOS (non prise en charge dans ce wiki)===

A titre informatif : création avec <code>parted</code>, sans nécessité de créer une partition dédiée au bootloader/grub : créez juste la partition root et swap.

==Création du RAID==

Pour des raisons esthétiques, définissez l'hostname de votre système de rescue :
<pre>hostname debian</pre>

Pour créer votre raid 1 avec 2 disques :
<pre>
mdadm --create --verbose /dev/md2 --level=1 --raid-devices=2 /dev/sda2 /dev/sdb2
</pre>

Notez que si vous souhaitez utiliser plus que 2 disques, il faut augmenter la valeur de <code>--raid-devices</code> et ajouter les partitions des disques à la suite.

Attendez que le raid soit synchronisé avant de continuer. Vous pouvez surveiller facilement cela avec la commande <code>watch cat /proc/mdstat</code>.

==Création des systèmes de fichiers==

Créez un système de fichier ext4 pour le raid du root :
<pre>
mkfs.ext4 /dev/md2
</pre>

Enfin, initialisez les swaps :
<pre>
mkswap /dev/sda3
mkswap /dev/sdb3
</pre>

=Installation de debian=

==Installation du système de base==

Nous débutons par installer le système de base de Debian avec <code>debootstrap</code>

Installez les paquets nécessaires dans votre rescue :
<pre>apt install debootstrap debian-archive-keyring</pre>

Montez votre partition raid root sur <code>/mnt</code> :
<pre>
mount /dev/md2 /mnt
</pre>

Installez le système de base debian, version bookworm :
<pre>debootstrap --arch=amd64 trixie /mnt http://ftp.fr.debian.org/debian --include=openssl</pre>

==Configuration de Debian==

Montez les vfs suivants, puis chrootez dans votre nouveau système debian :
<pre>
mount -o bind /proc /mnt/proc
mount -o bind /dev /mnt/dev
mount -o bind /dev/pts /mnt/dev/pts
mount -o bind /sys /mnt/sys
chroot /mnt
</pre>

Configurez les archives apt : éditez le fichier <code>/etc/apt/sources.list.d/debian.sources</code> :
<pre>
# main updates and backports
Types: deb
URIs: https://deb.debian.org/debian
Suites: trixie trixie-updates trixie-backports
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

# security
Types: deb
URIs: https://security.debian.org/debian-security
Suites: trixie-security
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg
</pre>

Mettez à jour les paquets :
<pre>
apt update
apt full-upgrade
</pre>

Installez les locales et la configuration de console :
<pre>
apt install locales
dpkg-reconfigure locales
apt install console-data console-setup-linux console-setup wget
dpkg-reconfigure console-data # from arch > french > latin9)
</pre>

Définissez la zone horaire :
<pre>
tzselect
dpkg-reconfigure tzdata
</pre>

Configurez votre fichier <code>/etc/fstab</code>. 
**Pour GPT pour EFI / UEFI :**
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda1 /boot/efi vfat defaults 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

**Pour GPT pour BIOS :**
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

**Dans le cas d'un partitionnement GPT pour EFI / UEFI** : montez la partition EFI / ESP :
<pre>
mkdir /boot/efi
mount /boot/efi
</pre>

Configurez les interfaces réseaux dans <code>/etc/network/interfaces</code> :
<pre>
# The loopback network interface
auto lo
iface lo inet loopback

auto eno3
iface eno3 inet static
address XXXX/24
gateway XXXX
</pre>

Configurez le fichier <code>/etc/hosts</code> :
<pre>
# local
127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters

# main
ipdelamachine debian.domain.tld debian
</pre>

Définissez les hostnames dans ces fichiers :
<pre>
# Pour celui la : non-fqdn
echo debian > /etc/hostname
# Pour celui la : fqdn
echo debian.domain.tld > /etc/mailname
</pre>

N'oubliez pas de configurer les dns (ceux de votre hébergeur dédié) dans <code>/etc/resolv.conf</code> :
<pre>nameserver XX.XX.XX.XX</pre>

Installez postfix :
<pre>
hostname -F /etc/hostname
apt install postfix
</pre>

Enfin, comme nous installons notre partition de boot sur un raid software, il faut installer <code>madadm</code> à ce stade :
<pre>apt install mdadm</pre>

Vérifiez si votre array root s'est bien défini automatiquement dans <code>/etc/mdadm/mdadm.conf</code>. Si ce n'est pas me cas, ajoutez la configuration de l'array manuellement :
<pre>mdadm --examine --scan >> /etc/mdadm/mdadm.conf</pre>

==Installation du kernel==

===Possibilité 1 : Partitions GPT pour EFI / UEFI===

Vérifiez que <code>/boot/efi</code> est bien monté. Si ce n'est pas le cas, faites le.

Installez le kernel proxmox :
<pre>
apt install linux-image-amd64 grub-efi-amd64 gdisk
</pre>

Supprimez les paquets suivant si vous n'avez pas besoin de secureboot :
<pre>apt purge grub-efi-amd64-signed mokutil shim-helpers-amd64-signed shim-signed shim-signed-common shim-unsigned</pre>

Normalement tout doit se faire avec des promps. Si ce n'était pas le cas :
<pre>grub-install --bootloader-id=debian</pre>

Si jamais vous utilisez un démarrage en PXE (c'est le cas sur un serveur OVH par exemple), utilisez l'argument <code>--no-nvram</code> pour empêcher grub de mettre à jour la NVRAM et casser votre mécanique de démarrage PXE :
<pre>grub-install --bootloader-id=debian --no-nvram</pre>

Etant donné que seul <code>/dev/sda1</code> est monté sur <code>/boot/efi</code>, il faut transférer manuellement les données sur <code>/dev/sdb1</code> :
<pre>
mount /dev/sdb1 /mnt
rsync -av /boot/efi/ /mnt/
umount /mnt
</pre>

===Possibilité 2 : Partitions GPT pour BIOS OU Partitions MBR pour BIOS===

<pre>
apt install linux-image-amd64 grub-pc gdisk
</pre>

Lorsqu'on vous demandera où installer grub, choisissez <code>sda</code> ET <code>sdb</code>. Sinon :
<pre>
grub-install /dev/sda
grub-install /dev/sdb
</pre>

Debootstrap

2026-10-08T09:17:56Z

Pfoo : /* Installation du système de base */

[[category:debian]]
[[category:serveur]]
[[Category:trixie]]
Debootstrap permet d'installer une distribution debian sur un point de montage en utilisant une debian en service.

=Prérequis=

Ce tutoriel se base sur l'utilisation de debootstrap pour installer une base de système d'exploitation debian. La plupart des hébergeurs proposent un système de "rescue" permettant l'installation de debian par ce moyen.
Si vous ne disposez pas de mode rescue, vous pouvez toujours utiliser l'installeur proposé par votre hébergeur, ou encore passer par un kvm pour installer vous même le système avec l'iso de debian.

=Pour les débutants=

Si vous êtes débutant en administration linux, je vous conseil de sauvegarder quelque part les fichier suivant issu d'une précédente installation de debian ou de proxmox
* <code>/etc/networks</code>
* <code>/etc/network/interfaces</code>
* <code>/etc/resolv.conf</code>
* <code>/etc/hosts</code>
* <code>/etc/fstab</code>
* <code>/etc/mdadm/mdadm.conf</code> si vous disposez d'un raid logiciel
* tout fichier de personnalisation de grub (<code>/etc/grub.d/</code> par exemple)

Cela vous permettra de vous faire une idée plus précise de ce qui doit figurer dans ces différents fichiers.

=Partitionnement et système de fichier=

Voici le partitionnement que je vais utiliser :
* Partition root (/) de 20 Go (/) en raid 1 sur les disques sda et sdb
* Partitions swap de 4096 Go chacune réparties sur sda et sdb
* Le reste de l'espace sera utilisé plus tard pour un LVM dédié aux VMs

==Partitionnement==

===Possibilité 1 : Partitionnement GPT pour EFI / UEFI===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions EFI (ESP), obligatoire pour le démarrage EFI/UEFI. Il faudra leur attribuer le type <code>EF00</code>. Pour assurer une bonne compatibilité avec les multiples firmwares EFI, il est recommandé de leur attribuer une taille de 512 MiB (+512M au prompt gdisk).
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

 

Pour les partitions EFI, nous créons un système de fichier FAT32 avec le label (nom) <code>EFI_SYSPART</code> :
<pre>
mkfs.fat -F 32 -n EFI_SYSPART /dev/sda1
mkfs.fat -F 32 -n EFI_SYSPART /dev/sdb1
</pre>

===Possibilité 2 : Partitionnement GPT pour BIOS===

Nous allons créer avec <code>gdisk</code> 3 partitions sur chaque disque :
* sda1 et sdb1 : partitions pour le bootloader. Il faudra leur attribuer le type <code>EF02</code>. On peut la créer idéalement du secteur 34 au secteur 2047 du disque.
* sda2 et sdb2 : partitions pour le raid root (/). Il faudra leur attribuer le type <code>FD00</code>.
* sda3 et sdb3 : partitions swap séparées. Il faudra leur attribuer le type <code>8200</code>.

Notez que la partition du bootloader ne doit pas être formatée.

===Possibilité 3 : partitionnement MBR pour BIOS (non prise en charge dans ce wiki)===

A titre informatif : création avec <code>parted</code>, sans nécessité de créer une partition dédiée au bootloader/grub : créez juste la partition root et swap.

==Création du RAID==

Pour des raisons esthétiques, définissez l'hostname de votre système de rescue :
<pre>hostname debian</pre>

Pour créer votre raid 1 avec 2 disques :
<pre>
mdadm --create --verbose /dev/md2 --level=1 --raid-devices=2 /dev/sda2 /dev/sdb2
</pre>

Notez que si vous souhaitez utiliser plus que 2 disques, il faut augmenter la valeur de <code>--raid-devices</code> et ajouter les partitions des disques à la suite.

Attendez que le raid soit synchronisé avant de continuer. Vous pouvez surveiller facilement cela avec la commande <code>watch cat /proc/mdstat</code>.

==Création des systèmes de fichiers==

Créez un système de fichier ext4 pour le raid du root :
<pre>
mkfs.ext4 /dev/md2
</pre>

Enfin, initialisez les swaps :
<pre>
mkswap /dev/sda3
mkswap /dev/sdb3
</pre>

=Installation de debian=

==Installation du système de base==

Nous débutons par installer le système de base de Debian avec <code>debootstrap</code>

Installez les paquets nécessaires dans votre rescue :
<pre>apt install debootstrap debian-archive-keyring</pre>

Montez votre partition raid root sur <code>/mnt</code> :
<pre>
mount /dev/md2 /mnt
</pre>

Installez le système de base debian, version bookworm :
<pre>debootstrap --arch=amd64 trixie /mnt http://ftp.fr.debian.org/debian --include=openssl</pre>

==Configuration de Debian==

Montez les vfs suivants, puis chrootez dans votre nouveau système debian :
<pre>
mount -o bind /proc /mnt/proc
mount -o bind /dev /mnt/dev
mount -o bind /dev/pts /mnt/dev/pts
mount -o bind /sys /mnt/sys
chroot /mnt
</pre>

Configurez les archives apt : éditez le fichier <code>/etc/apt/sources.list.d/debian.sources</code> :
<pre>
# main updates and backports
Types: deb
URIs: https://deb.debian.org/debian
Suites: trixie trixie-updates trixie-backports
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg

# security
Types: deb
URIs: https://security.debian.org/debian-security
Suites: trixie-security
Components: main contrib non-free non-free-firmware
Signed-By: /usr/share/keyrings/debian-archive-keyring.gpg
</pre>

Mettez à jour les paquets :
<pre>
apt update
apt full-upgrade
</pre>

Installez les locales et la configuration de console :
<pre>
apt install locales
dpkg-reconfigure locales
apt install console-data console-setup-linux console-setup wget
dpkg-reconfigure console-data # from arch > french > latin9)
</pre>

Définissez la zone horaire :
<pre>
tzselect
dpkg-reconfigure tzdata
</pre>

Configurez votre fichier <code>/etc/fstab</code>. 
**Pour GPT pour EFI / UEFI :**
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda1 /boot/efi vfat defaults 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

**Pour GPT pour BIOS :**
<pre>
# <file system> <mount point> <type> <options> <dump> <pass>
/dev/md2 / ext4 defaults,errors=remount-ro,relatime 0 1
/dev/sda3 swap swap sw,pri=1 0 0
/dev/sdb3 swap swap sw,pri=1 0 0
</pre>

**Dans le cas d'un partitionnement GPT pour EFI / UEFI** : montez la partition EFI / ESP :
<pre>
mkdir /boot/efi
mount /boot/efi
</pre>

Configurez les interfaces réseaux dans <code>/etc/network/interfaces</code> :
<pre>
# The loopback network interface
auto lo
iface lo inet loopback

auto eno3
iface eno3 inet static
address XXXX/24
gateway XXXX
</pre>

Configurez le fichier <code>/etc/hosts</code> :
<pre>
# local
127.0.0.1 localhost
::1 localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters

# main
ipdelamachine debian.domain.tld debian
</pre>

Définissez les hostnames dans ces fichiers :
<pre>
# Pour celui la : non-fqdn
echo debian > /etc/hostname
# Pour celui la : fqdn
echo debian.domain.tld > /etc/mailname
</pre>

N'oubliez pas de configurer les dns (ceux de votre hébergeur dédié) dans <code>/etc/resolv.conf</code> :
<pre>nameserver XX.XX.XX.XX</pre>

Installez postfix :
<pre>
hostname -F /etc/hostname
apt install postfix
</pre>

Enfin, comme nous installons notre partition de boot sur un raid software, il faut installer <code>madadm</code> à ce stade :
<pre>apt install mdadm</pre>

Vérifiez si votre array root s'est bien défini automatiquement dans <code>/etc/mdadm/mdadm.conf</code>. Si ce n'est pas me cas, ajoutez la configuration de l'array manuellement :
<pre>mdadm --examine --scan >> /etc/mdadm/mdadm.conf</pre>

Debootstrap

2026-10-08T09:14:15Z

Pfoo : /* Création des systèmes de fichiers */

Debootstrap

2026-10-08T09:11:23Z

Pfoo : /* Création du RAID */

Debootstrap

2026-10-08T09:11:00Z

Pfoo : /* Possibilité 3 : partitionnement MBR pour BIOS (non prise en charge dans ce wiki) */

Debootstrap

2026-10-08T09:09:06Z

Pfoo :

Boot efi

2026-10-07T21:54:23Z

Pfoo : Page créée avec « <pre>mount --bind /sys/firmware/efi/efivars /mnt/sys/firmware/efi/efivars</pre> »

<pre>mount --bind /sys/firmware/efi/efivars /mnt/sys/firmware/efi/efivars</pre>

Git

2026-09-30T15:15:48Z

Pfoo :

[[category:desktop]]
=0=
<pre>aptitude install git</pre>

<pre>
git init script/
cd script/
</pre>

<pre>
git add .
git commit
</pre>

Récupérer les fichiers à l'état HEAD dans la branche courante :
<pre>
git checkout -- .
ou
git checkout -f
ou encore
git checkout master .
</pre>

Créer une branche experimental :
<pre>
$ git branch experimental
</pre>

Passer a la branche experimental :
<pre>
git checkout experimental
</pre>

On peut ensuite modifier des fichiers, et les commit dans la branche experimentale
<pre>
git commit -a
</pre>

On peut pousser cette nouvelle branche sur notre repo distant :
<pre>
git push -u origin experimental
</pre>

Puis revenir à la branche par défaut avec :
<pre>
git checkout master
</pre>

Pour merger les modifications de experimental dans la branche master :
<pre>
git merge experimental
</pre>

Puis vous pouvez supprimer la branche experimental :
<pre>git branch -d experimental</pre>

=Récupérer le message de commit de manière interactive=
A la racine de votre dépot git, créez le fichier <code>.git/plop.sh</code> contenant :
<pre>
echo "Commit message :"
read plop
echo "$plop" > $1
</pre>

Modifiez l'éditeur de fichier utilisé par git :
<pre>git config core.editor .git/plop.sh</pre>

=Récupérer une branche distante=
<pre>git branch -a</pre>
Les branches marqués "remotes" (en rouge) sont présente uniquement de manière distante. Il faut les récupérer avant de pouvoir y toucher.

La commande suivante permet de créer la branche locale "dev" et de la lier a la branche distante "dev" déjà existante
<pre>git checkout -b dev origin/dev</pre>

=Supprimer une branche distante=
<pre>git push origin --delete BRANCHE</pre>

Puis on peut supprimer la version locale de la branche :
<pre>git branch -d BRANCHE</pre>

=Mettre à jour la liste des branches distantes=
<pre>git remote update --prune</pre>

=diff=
==Diff entre plusieurs branches==
Diff entre la branche en cours et master:
<pre>git diff master</pre>

Diff entre deux branches (master et staging ici):
<pre>git diff master..staging</pre>

=Merge=

==dry run==
<pre>git merge --no-commit --no-ff $BRANCH</pre>
Puis
<pre>git merge --abort</pre>

=Créer un patch=

Patch résumant le dernier commit :
<pre>git format-patch -1 HEAD</pre>

Que vous pouvez appliquer tout bêtement avec patch :
<pre>patch -p1 < lepatch.patch</pre>

=Annuler un commit=

==Annuler le précédent commit local==

En conservant les fichiers
<pre>
git reset --soft HEAD^
</pre>

En supprimant les fichiers
<pre>
git reset --hard HEAD^
</pre>

==Annuler le précédent commit public==

<pre>
git revert HEAD
</pre>

=Retrouver le commit qui a supprimé un fichier=
<pre>git log --full-history -- FICHIER</pre>

=Utiliser kdiff3 en tant qu'outil de diff/merge=
<pre>
git config --global --add merge.tool kdiff3
git config --global --add mergetool.kdiff3.path "/usr/bin/kdiff3"
git config --global --add mergetool.kdiff3.trustExitCode false
git config --global --add mergetool.prompt false

git config --global --add diff.guitool kdiff3
git config --global --add difftool.kdiff3.path "/usr/bin/kdiff3"
git config --global --add difftool.kdiff3.trustExitCode false
git config --global --add difftool.prompt false
</pre>

Puis utiliser <code>git difftool</code> (plutôt que <code>git diff</code>)

=cleanup=
<pre>
git fsck --unreachable
git gc --prune=now
</pre>

Installation et configuration de OpenSSL

2026-09-27T08:59:06Z

Pfoo : /* Création de l'autorité intermédiaire */

[[Category:serveur]]
[[Category:debian]]
[[Category:security]]
Protéger les données qui transitent au travers des différents protocoles peut parfois être primordial. Le chiffrement le plus utilisé actuellement est SSL. Le principe de SSL est basé sur l'utilisation de deux clés : une clé publique qui sert à déchiffrer et une clé privée qui sert à chiffrer (on parle de chiffrement asymétrique). La clé privée doit rester confidentielle alors que la clé publique peut-être transmise sans problème à tous le monde.
La validité des clés publiques est assurée par une autorité de certification.

OpenSSL est une implémentation libre du protocole ssl et permet de créer facilement des couples de clés publique / privée.

Nous allons voir comment créer un autorité de certification racine (root), une autorité intermédiaire, et enfin, un couple de clé pouvant être utilisé par exemple pour apache.

Les changements de permissions effectués dans ce howto supposent que vous êtes en umask 0027

=Installation et généralités=

Pour installer openssl utilisez aptitude :
<pre>apt install openssl</pre>

Attention : certains paquets peuvent avoir besoin d'accéder au fichier <code>/etc/ssl/openssl.cnf</code> (c'est par exemple le cas de bind9 depuis une mise à jour de sécurité). Veillez donc à ce que ce fichier reste accessible en lecture pour other.

Le programme openssl fonctionne de la manière suivante :
<pre>openssl <comande> [options]</pre>

Par exemple, la commande <code>ca</code> gère les autorités de certification, la commande <code>req</code> gère les requêtes de certificat, ...

Voici les principales directives utilisés pour des certificats ssl :

* basicConstraints
** <div id="pathlen"></div>pathlen : profondeur de la clé, c'est-à-dire, le nombre d'autorité de certficiation (AC) pouvant apparaître sous le certificat en question (on parle de chaîne de certification). Cette directive est importante si vous souhaitez mettre en place une chaîne de certification avec plusieurs autorités de certification. Une AC avec une pathlen de 0 ne peut qu'être utilisée pour signer des certificats utilisateurs/serveurs et pas une autre AC.
** CA : TRUE pour une autorité, FALSE pour un certificat serveur ou client.
* keyUsage
** digitalSignature (RSA/DSA) : pour la signature en tant que méthode de chiffrement
** nonRepudiation (RSA/DSA) : pour la signature en tant que service
** keyEncipherment (RSA) : chiffrement de clé (privé)
** dataEncipherment (RSA) : chiffrement de données
** keyCertSign (RSA/DSA) : signature de certificats (utilisé pour les AC)
** cRLSign (RSA/DSA) : signature de listes de révocation (encore une fois utile pour les AC)
** keyAgreement (DH) : pour la négociation d'une clé de session
** encipherOnly et decipherOnly (DH) : à préciser en même temps que keyAgreement
* nsCertType
** client ou server : pour une authentification ou du chiffrement client / serveur selon le cas
** email : chiffrement de mails en S/MIME
** objsign : signature de code
** sslCA, emailCA, objCA : pour délivrer des autorités de certifications ayant les propriétés client/serveur, email ou obj
* extendedKeyUsage
** serverAuth : à utiliser en même temps que un nsCertType server
** clientAuth : à utiliser en même temps que un nsCertType client
** codeSigning : à utiliser en même temps que un nsCertType objsign
** emailProtection : à utiliser en même temps que un nsCertType email
* subjectAltName : à utiliser pour utiliser le même certificat sur plusieurs sites webs différents (name-based virtual host de apache), ou encore pour des adresses mails associés au même certificat

=Mise en place d'une autorité de certification=

Pour commencer il faut créer une arborescence pour l'AC dans /etc/ssl/. Nous allons créer les arborescences suivante :
<pre>
root_ca/
|-- certs/
|-- crl/
|-- newcerts/
|-- private/
|-- serial
|-- index.txt
</pre>
et
<pre>
core_ca/
|-- certs/
|-- crl/
|-- newcerts/
|-- private/
|-- serial
|-- index.txt
</pre>

Exécutez les commandes suivantes :
<pre>
mkdir -p /etc/ssl/root_ca/{certs,crl,newcerts,private}
mkdir -p /etc/ssl/core_ca/{certs,crl,newcerts,private}
touch /etc/ssl/root_ca/index.txt
touch /etc/ssl/core_ca/index.txt
touch /etc/ssl/root_ca/serial
touch /etc/ssl/core_ca/serial
</pre>

==le fichier /etc/openssl.cnf==
Ensuite nous allons configurer <code>/etc/ssl/openssl.cnf</code> pour qu'il reconnaisse cette arborescence.
La configuration est divisée en plusieurs sections qui commencent chacune par <code>[ nom_de_section ]</code>.
Modifiez le fichier <code>/etc/ssl/openssl.cnf</code> comme suit :

<pre>
HOME = .
openssl_conf = default_conf

[ ca ]
#Cette section nous permet de définir l'autorité de certification par défaut.
default_ca = root_ca

#l'autorité de certification racine (root) valable 10 ans
[ root_ca ]
dir = /etc/ssl/root_ca
certs = $dir/certs
new_certs_dir = $dir/newcerts
database = $dir/index.txt
certificate = $dir/root_ca.pem
serial = $dir/serial
private_key = $dir/private/root_ca.key
default_days = 3650
default_md = default
preserve = no
policy = policy_match
#unique_subject = no # Set to 'no' to allow creation of several certs with same subject.
name_opt = ca_default
cert_opt = ca_default

#l'autorité de certification intermédiaire valable 10 ans
[ core_ca ]
dir = /etc/ssl/core_ca
certs = $dir/certs
new_certs_dir = $dir/newcerts
database = $dir/index.txt
certificate = $dir/core_ca.pem
serial = $dir/serial
private_key = $dir/private/core_ca.key
default_days = 3650
default_md = default
preserve = no
policy = policy_match
#unique_subject = no # Set to 'no' to allow creation of several certs with same subject.
name_opt = ca_default
cert_opt = ca_default
</pre>

Vous pouvez laisser les sections [ policy_match ] et [ policy_anything ] telle quelle :
<pre>
[ policy_match ]
countryName = match
stateOrProvinceName = match
localityName = match
organizationName = match
organizationalUnitName = optional
commonName = supplied
emailAddress = optional

[ policy_anything ]
countryName = optional
stateOrProvinceName = optional
localityName = optional
organizationName = optional
organizationalUnitName = optional
commonName = supplied
emailAddress = optional
</pre>

Les sections [ req ] et [ req_distinguished_name ] définissent les paramètres par défaut pour la création d'un certificat ssl :
<pre>
[ req ]
default_bits = 4096
distinguished_name = req_distinguished_name
string_mask = utf8only

[ req_distinguished_name ]
countryName = Country Name (2 letter code)
countryName_default = FR
countryName_min = 2
countryName_max = 2
stateOrProvinceName = State or Province Name (full name)
stateOrProvinceName_default = Alsace
localityName = Locality Name (eg, city)
localityName_default = Strasbourg
0.organizationName = Organization Name (eg, company)
0.organizationName_default = CSNU
# we can do this but it is not needed normally :-)
#1.organizationName = Second Organization Name (eg, company)
#1.organizationName_default = World Wide Web Pty Ltd
organizationalUnitName = Organizational Unit Name (eg, section)
#organizationalUnitName_default =
commonName = Common Name (eg, YOUR name)
commonName_max = 64
emailAddress = Email Address
emailAddress_max = 64

[ req_attributes ]
challengePassword = A challenge password
challengePassword_min = 4
challengePassword_max = 20
unstructuredName = An optional company name
</pre>

<pre>
[default_conf]
ssl_conf = ssl_sect

[ssl_sect]
system_default = system_default_sect

[system_default_sect]
MinProtocol = TLSv1.2
CipherString = DEFAULT@SECLEVEL=2
</pre>

Enfin, nous allons créer une section spécifique pour la configuration des certificats des autorités de certification que nous allons mettre en place :
<pre>
[ROOT_CA]
nsComment = "ROOT CA"
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid,issuer:always
basicConstraints = critical,CA:TRUE,pathlen:1
keyUsage = critical, keyCertSign, cRLSign
nsCertType = sslCA, emailCA
subjectAltName = email:copy
issuerAltName = issuer:copy

[CORE_CA]
nsComment = "SSL CA"
basicConstraints = critical,CA:TRUE,pathlen:0
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid,issuer:always
issuerAltName = issuer:copy
keyUsage = critical, keyCertSign, cRLSign
nsCertType = sslCA, emailCA
subjectAltName = email:copy
issuerAltName = issuer:copy
</pre>

Faites attention à la directive <code>pathlen</code> : si vous décidez de créer plus (ou moins) d'autorités intermédiaires, il vous faudra l'adapter en conséquence. Pour plus d'informations, rendez vous [[#pathlen|ici]]

==Création de l'autorité root==

Maintenant nous pouvons créer le certificat de l'autorité de certification :
<pre>
cd /etc/ssl/root_ca/
openssl req -x509 -config /etc/ssl/openssl.cnf -newkey rsa:8192 -sha256 -extensions ROOT_CA -days 3650 -keyout private/root_ca.key -out root_ca.pem
</pre>

Quelques explications :
* req permet de créer des des demandes de certificats.
* -x509 permet de créer un certificat auto-signé au lieu d'une simple demande de certificat.
* -newkey rsa:8192 permet de créer la clé privée en même temps ; L'algorithme de chiffrement RSA est utilisé avec une clé de 8192 bits.
* -sha256 : utilisé sha256 pour la signature (c'est le défaut, sha1 étant déprécié)
* -extensions ROOT_CA spécifie qu'il faut utiliser la section [ROOT_CA] (en majuscule !) du fichier de configuration de openssl pour configurer le certificat.
* -days 3650 permet de définir la durée de validité du certificat. Ici, 3650 jours.
* -keyout défini le chemin où sera stocké la clé privée.
* -out désigne le chemin où sera stocké la clé publique.

Le mot de passe (<code>PEM pass phrase</code>) doit être assez compliqué étant donné que ce couple de clé assure la validité de tous les certificats qui seront signés avec lui. Si la clé privé de l'AC est compromise, c'est tous les certificats signés par l'AC qui sont compromis.

Pour s'assurer de la sécurité de la clé privée :
<pre>
chmod -R 600 /etc/ssl/root_ca/private
</pre>

Nous allons ensuite initialiser le serial par un nombre aléatoire
<pre>openssl x509 -serial -noout -in root_ca.pem | cut -d= -f2 > serial</pre>

'''Editez ensuite le fichier <code>serial</code> et incrémentez le.''', sinon votre premier certificat aura le même serial que le certificat racine. PAr exemple avec ce one-liner :
<pre>python3 -c 'from pathlib import Path; p=Path("serial"); v=p.read_text().strip(); p.write_text(format(int(v,16)+1,"040X")+"\n")'</pre>

===Méthode alternative===

(non recommandée)

<pre>openssl req -new -newkey rsa:8196 -keyout private/root_ca.pem -out root_ca.req -config /etc/ssl/openssl.cnf </pre>

<pre>openssl ca -rand_serial -extensions ROOT_CA -out root_ca.pem -days 3650 -keyfile private/root_ca.pem -selfsign -config /etc/ssl/openssl.cnf -infiles root_ca.req</pre>

-rand-serial est important et permet d'initialiser un sérial aléatoire de 128 bits.

==Création de l'autorité intermédiaire==
L'autorité de certification root est maintenant créée. Nous allons créer l'autorité intermédiaire.
On commence par créer une nouvelle clé privé ainsi qu'une demande de certificat :
<pre>
cd /etc/ssl/core_ca
openssl req -newkey rsa:8192 -sha256 -keyout private/core_ca.key -out core_ca.req
</pre>
Puis on signe le certificat en utilisant la ca par défaut (défini dans le fichier openssl.cnf), c'est-à-dire, la ROOT_CA, et on précise qu'il faut configurer ce nouveau certificat en utilisant la section CORE_CA du fichier de configuration. 
Notez qu'on génère un serial aléatoire pour le certificat intermédiaire.
<pre>
openssl ca -rand_serial -extensions CORE_CA -in core_ca.req -out core_ca.pem
</pre>

On génère le serial de core_ca dans /etc/ssl/core_ca/serial
<pre>
openssl x509 -serial -noout -in core_ca.pem | cut -d= -f2 > serial
</pre>

'''Editez ensuite le fichier serial et incrémentez le''', sinon votre premier certificat aura le même serial que le certificat racine :
<pre>python3 -c 'from pathlib import Path; p=Path("serial"); v=p.read_text().strip(); p.write_text(format(int(v,16)+1,"040X")+"\n")'</pre>

Enfin, on s'assure que la clé privée de cette nouvelle autorité est elle aussi à l'abri :
<pre>
chmod -R 600 private/
</pre>

On peut maintenant créer des certificats et les signer avec notre autorité intermédiaire.
Pour générer la clé privé et la demande de certificat :
<pre>
openssl req -newkey rsa:4096 -sha256 -keyout cle-privee.key -out cle-publique.req
</pre>
Puis on signe le certificat. L'option <code>-name</code> permet de préciser qu'il faut utiliser l'autorité <code<core_ca</code> pour signer notre nouveau certificat.
<pre>
openssl ca -name core_ca -in cle-publique.req -out certificat.pem
</pre>

Pour que les clients (http, mail, ftp, ...) reconnaissent comme valide les certificats que vous signez avec votre AC il faut ajouter le fichier <code>/etc/ssl/root_ca/root_ca.pem</code> (et <code>/etc/ssl/core_ca/core_ca.pem</code> si votre serveur est mal configuré) à leur liste d'autorité de certification valide.

=Générer des certificats serveurs=

Pour commencer, ajoutez la section suivante dans votre fichier /etc/ssl/openssl.cnf :
<pre>
[SERVER_SSL]
nsComment = "SSL Server Certificate"
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid,issuer:always
issuerAltName = issuer:copy
subjectAltName = DNS:www.server.com, DNS:webmail.server.com
basicConstraints = critical,CA:FALSE
keyUsage = critical, digitalSignature, nonRepudiation, keyEncipherment
nsCertType = server
extendedKeyUsage = serverAuth
</pre>
Nous allons créer un certificat valide à la fois pour les adresses www.server.com et webmail.server.com (directive <code>subjectAltName</code>).
Attention cependant, lors de la génération du certificat, pensez à définir le <code>commonName</code> à www.server.com

On génère la clé privé et la demande de certificat :
<pre>
openssl req -newkey rsa:4096 -sha256 -keyout cle-privee.key -out cle-publique.req
</pre>
Puis on signe le certificat. L'option <code>-name</code> permet de préciser qu'il faut utiliser l'autorité <code>core_ca</code> pour signer notre nouveau certificat :
<pre>
openssl ca -name core_ca -extensions SERVER_SSL -in cle-publique.req -out certificat.pem
</pre>

=Générer des certificats clients=

Ajoutez la section suivante dans votre fichier /etc/ssl/openssl.cnf :
<pre>
[CLIENT_SSL]
nsComment = "SSL Client Certificate"
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid,issuer:always
issuerAltName = issuer:copy
subjectAltName = critical,email:copy,email:root@server.com,email:admin@server.com
basicConstraints = critical,CA:FALSE
keyUsage = critical,digitalSignature, nonRepudiation
nsCertType = client
extendedKeyUsage = clientAuth
</pre>

La génération du couple de clé repose sur le même principe que pour un serveur.

=Révoquer un certificat=

Identifiez le certificat dans le fichier <code>/etc/ssl/core_ca/index.txt</code>. Par exemple, pour révoquer le certificat qui a l'identifiant 03 :
<pre>openssl ca -revoke /etc/ssl/core_ca/newcerts/03.pem</pre>

=Compatibilité avec la bibliothèque de certificats des distributions Linux=

Placez le certificat de votre CA dans /etc/ssl/certs/myca.pem puis lancez les commandes suivantes :
<pre>cd /etc/ssl/certs/
chmod o+r myca.pem
ln -s myca.pem `openssl x509 -hash -noout -in myca.pem`.0
cd
</pre>

=Génération de certificats ECDSA=

<pre>openssl ecparam -list_curves</pre>

Les 2 courbes les plus supportées sont prime256v1 et secp384r1

<pre>openssl ecparam -name prime256v1 -out prime256v1.pem</pre>
Puis à la génération de la clé, il faudra préciser :
<pre>-newkey ec:prime256v1.pem</pre>

Installation et configuration de OpenSSL

2026-09-27T08:58:40Z

Pfoo : /* Création de l'autorité root */

[[Category:serveur]]
[[Category:debian]]
[[Category:security]]
Protéger les données qui transitent au travers des différents protocoles peut parfois être primordial. Le chiffrement le plus utilisé actuellement est SSL. Le principe de SSL est basé sur l'utilisation de deux clés : une clé publique qui sert à déchiffrer et une clé privée qui sert à chiffrer (on parle de chiffrement asymétrique). La clé privée doit rester confidentielle alors que la clé publique peut-être transmise sans problème à tous le monde.
La validité des clés publiques est assurée par une autorité de certification.

OpenSSL est une implémentation libre du protocole ssl et permet de créer facilement des couples de clés publique / privée.

Nous allons voir comment créer un autorité de certification racine (root), une autorité intermédiaire, et enfin, un couple de clé pouvant être utilisé par exemple pour apache.

Les changements de permissions effectués dans ce howto supposent que vous êtes en umask 0027

=Installation et généralités=

Pour installer openssl utilisez aptitude :
<pre>apt install openssl</pre>

Attention : certains paquets peuvent avoir besoin d'accéder au fichier <code>/etc/ssl/openssl.cnf</code> (c'est par exemple le cas de bind9 depuis une mise à jour de sécurité). Veillez donc à ce que ce fichier reste accessible en lecture pour other.

Le programme openssl fonctionne de la manière suivante :
<pre>openssl <comande> [options]</pre>

Par exemple, la commande <code>ca</code> gère les autorités de certification, la commande <code>req</code> gère les requêtes de certificat, ...

Voici les principales directives utilisés pour des certificats ssl :

* basicConstraints
** <div id="pathlen"></div>pathlen : profondeur de la clé, c'est-à-dire, le nombre d'autorité de certficiation (AC) pouvant apparaître sous le certificat en question (on parle de chaîne de certification). Cette directive est importante si vous souhaitez mettre en place une chaîne de certification avec plusieurs autorités de certification. Une AC avec une pathlen de 0 ne peut qu'être utilisée pour signer des certificats utilisateurs/serveurs et pas une autre AC.
** CA : TRUE pour une autorité, FALSE pour un certificat serveur ou client.
* keyUsage
** digitalSignature (RSA/DSA) : pour la signature en tant que méthode de chiffrement
** nonRepudiation (RSA/DSA) : pour la signature en tant que service
** keyEncipherment (RSA) : chiffrement de clé (privé)
** dataEncipherment (RSA) : chiffrement de données
** keyCertSign (RSA/DSA) : signature de certificats (utilisé pour les AC)
** cRLSign (RSA/DSA) : signature de listes de révocation (encore une fois utile pour les AC)
** keyAgreement (DH) : pour la négociation d'une clé de session
** encipherOnly et decipherOnly (DH) : à préciser en même temps que keyAgreement
* nsCertType
** client ou server : pour une authentification ou du chiffrement client / serveur selon le cas
** email : chiffrement de mails en S/MIME
** objsign : signature de code
** sslCA, emailCA, objCA : pour délivrer des autorités de certifications ayant les propriétés client/serveur, email ou obj
* extendedKeyUsage
** serverAuth : à utiliser en même temps que un nsCertType server
** clientAuth : à utiliser en même temps que un nsCertType client
** codeSigning : à utiliser en même temps que un nsCertType objsign
** emailProtection : à utiliser en même temps que un nsCertType email
* subjectAltName : à utiliser pour utiliser le même certificat sur plusieurs sites webs différents (name-based virtual host de apache), ou encore pour des adresses mails associés au même certificat

=Mise en place d'une autorité de certification=

Pour commencer il faut créer une arborescence pour l'AC dans /etc/ssl/. Nous allons créer les arborescences suivante :
<pre>
root_ca/
|-- certs/
|-- crl/
|-- newcerts/
|-- private/
|-- serial
|-- index.txt
</pre>
et
<pre>
core_ca/
|-- certs/
|-- crl/
|-- newcerts/
|-- private/
|-- serial
|-- index.txt
</pre>

Exécutez les commandes suivantes :
<pre>
mkdir -p /etc/ssl/root_ca/{certs,crl,newcerts,private}
mkdir -p /etc/ssl/core_ca/{certs,crl,newcerts,private}
touch /etc/ssl/root_ca/index.txt
touch /etc/ssl/core_ca/index.txt
touch /etc/ssl/root_ca/serial
touch /etc/ssl/core_ca/serial
</pre>

==le fichier /etc/openssl.cnf==
Ensuite nous allons configurer <code>/etc/ssl/openssl.cnf</code> pour qu'il reconnaisse cette arborescence.
La configuration est divisée en plusieurs sections qui commencent chacune par <code>[ nom_de_section ]</code>.
Modifiez le fichier <code>/etc/ssl/openssl.cnf</code> comme suit :

<pre>
HOME = .
openssl_conf = default_conf

[ ca ]
#Cette section nous permet de définir l'autorité de certification par défaut.
default_ca = root_ca

#l'autorité de certification racine (root) valable 10 ans
[ root_ca ]
dir = /etc/ssl/root_ca
certs = $dir/certs
new_certs_dir = $dir/newcerts
database = $dir/index.txt
certificate = $dir/root_ca.pem
serial = $dir/serial
private_key = $dir/private/root_ca.key
default_days = 3650
default_md = default
preserve = no
policy = policy_match
#unique_subject = no # Set to 'no' to allow creation of several certs with same subject.
name_opt = ca_default
cert_opt = ca_default

#l'autorité de certification intermédiaire valable 10 ans
[ core_ca ]
dir = /etc/ssl/core_ca
certs = $dir/certs
new_certs_dir = $dir/newcerts
database = $dir/index.txt
certificate = $dir/core_ca.pem
serial = $dir/serial
private_key = $dir/private/core_ca.key
default_days = 3650
default_md = default
preserve = no
policy = policy_match
#unique_subject = no # Set to 'no' to allow creation of several certs with same subject.
name_opt = ca_default
cert_opt = ca_default
</pre>

Vous pouvez laisser les sections [ policy_match ] et [ policy_anything ] telle quelle :
<pre>
[ policy_match ]
countryName = match
stateOrProvinceName = match
localityName = match
organizationName = match
organizationalUnitName = optional
commonName = supplied
emailAddress = optional

[ policy_anything ]
countryName = optional
stateOrProvinceName = optional
localityName = optional
organizationName = optional
organizationalUnitName = optional
commonName = supplied
emailAddress = optional
</pre>

Les sections [ req ] et [ req_distinguished_name ] définissent les paramètres par défaut pour la création d'un certificat ssl :
<pre>
[ req ]
default_bits = 4096
distinguished_name = req_distinguished_name
string_mask = utf8only

[ req_distinguished_name ]
countryName = Country Name (2 letter code)
countryName_default = FR
countryName_min = 2
countryName_max = 2
stateOrProvinceName = State or Province Name (full name)
stateOrProvinceName_default = Alsace
localityName = Locality Name (eg, city)
localityName_default = Strasbourg
0.organizationName = Organization Name (eg, company)
0.organizationName_default = CSNU
# we can do this but it is not needed normally :-)
#1.organizationName = Second Organization Name (eg, company)
#1.organizationName_default = World Wide Web Pty Ltd
organizationalUnitName = Organizational Unit Name (eg, section)
#organizationalUnitName_default =
commonName = Common Name (eg, YOUR name)
commonName_max = 64
emailAddress = Email Address
emailAddress_max = 64

[ req_attributes ]
challengePassword = A challenge password
challengePassword_min = 4
challengePassword_max = 20
unstructuredName = An optional company name
</pre>

<pre>
[default_conf]
ssl_conf = ssl_sect

[ssl_sect]
system_default = system_default_sect

[system_default_sect]
MinProtocol = TLSv1.2
CipherString = DEFAULT@SECLEVEL=2
</pre>

Enfin, nous allons créer une section spécifique pour la configuration des certificats des autorités de certification que nous allons mettre en place :
<pre>
[ROOT_CA]
nsComment = "ROOT CA"
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid,issuer:always
basicConstraints = critical,CA:TRUE,pathlen:1
keyUsage = critical, keyCertSign, cRLSign
nsCertType = sslCA, emailCA
subjectAltName = email:copy
issuerAltName = issuer:copy

[CORE_CA]
nsComment = "SSL CA"
basicConstraints = critical,CA:TRUE,pathlen:0
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid,issuer:always
issuerAltName = issuer:copy
keyUsage = critical, keyCertSign, cRLSign
nsCertType = sslCA, emailCA
subjectAltName = email:copy
issuerAltName = issuer:copy
</pre>

Faites attention à la directive <code>pathlen</code> : si vous décidez de créer plus (ou moins) d'autorités intermédiaires, il vous faudra l'adapter en conséquence. Pour plus d'informations, rendez vous [[#pathlen|ici]]

==Création de l'autorité root==

Maintenant nous pouvons créer le certificat de l'autorité de certification :
<pre>
cd /etc/ssl/root_ca/
openssl req -x509 -config /etc/ssl/openssl.cnf -newkey rsa:8192 -sha256 -extensions ROOT_CA -days 3650 -keyout private/root_ca.key -out root_ca.pem
</pre>

Quelques explications :
* req permet de créer des des demandes de certificats.
* -x509 permet de créer un certificat auto-signé au lieu d'une simple demande de certificat.
* -newkey rsa:8192 permet de créer la clé privée en même temps ; L'algorithme de chiffrement RSA est utilisé avec une clé de 8192 bits.
* -sha256 : utilisé sha256 pour la signature (c'est le défaut, sha1 étant déprécié)
* -extensions ROOT_CA spécifie qu'il faut utiliser la section [ROOT_CA] (en majuscule !) du fichier de configuration de openssl pour configurer le certificat.
* -days 3650 permet de définir la durée de validité du certificat. Ici, 3650 jours.
* -keyout défini le chemin où sera stocké la clé privée.
* -out désigne le chemin où sera stocké la clé publique.

Le mot de passe (<code>PEM pass phrase</code>) doit être assez compliqué étant donné que ce couple de clé assure la validité de tous les certificats qui seront signés avec lui. Si la clé privé de l'AC est compromise, c'est tous les certificats signés par l'AC qui sont compromis.

Pour s'assurer de la sécurité de la clé privée :
<pre>
chmod -R 600 /etc/ssl/root_ca/private
</pre>

Nous allons ensuite initialiser le serial par un nombre aléatoire
<pre>openssl x509 -serial -noout -in root_ca.pem | cut -d= -f2 > serial</pre>

'''Editez ensuite le fichier <code>serial</code> et incrémentez le.''', sinon votre premier certificat aura le même serial que le certificat racine. PAr exemple avec ce one-liner :
<pre>python3 -c 'from pathlib import Path; p=Path("serial"); v=p.read_text().strip(); p.write_text(format(int(v,16)+1,"040X")+"\n")'</pre>

===Méthode alternative===

(non recommandée)

<pre>openssl req -new -newkey rsa:8196 -keyout private/root_ca.pem -out root_ca.req -config /etc/ssl/openssl.cnf </pre>

<pre>openssl ca -rand_serial -extensions ROOT_CA -out root_ca.pem -days 3650 -keyfile private/root_ca.pem -selfsign -config /etc/ssl/openssl.cnf -infiles root_ca.req</pre>

-rand-serial est important et permet d'initialiser un sérial aléatoire de 128 bits.

==Création de l'autorité intermédiaire==
L'autorité de certification root est maintenant créée. Nous allons créer l'autorité intermédiaire.
On commence par créer une nouvelle clé privé ainsi qu'une demande de certificat :
<pre>
cd /etc/ssl/core_ca
openssl req -newkey rsa:8192 -sha256 -keyout private/core_ca.key -out core_ca.req
</pre>
Puis on signe le certificat en utilisant la ca par défaut (défini dans le fichier openssl.cnf), c'est-à-dire, la ROOT_CA, et on précise qu'il faut configurer ce nouveau certificat en utilisant la section CORE_CA du fichier de configuration. 
Notez qu'on génère un serial aléatoire pour le certificat intermédiaire.
<pre>
openssl ca -rand_serial -extensions CORE_CA -in core_ca.req -out core_ca.pem
</pre>

On génère le serial de core_ca dans /etc/ssl/core_ca/serial
<pre>
openssl x509 -serial -noout -in core_ca.pem | cut -d= -f2 > serial
</pre>

'''Editez ensuite le fichier serial et incrémentez le''', sinon votre premier certificat aura le même serial que le certificat racine.

Enfin, on s'assure que la clé privée de cette nouvelle autorité est elle aussi à l'abri :
<pre>
chmod -R 600 private/
</pre>

On peut maintenant créer des certificats et les signer avec notre autorité intermédiaire.
Pour générer la clé privé et la demande de certificat :
<pre>
openssl req -newkey rsa:4096 -sha256 -keyout cle-privee.key -out cle-publique.req
</pre>
Puis on signe le certificat. L'option <code>-name</code> permet de préciser qu'il faut utiliser l'autorité <code<core_ca</code> pour signer notre nouveau certificat.
<pre>
openssl ca -name core_ca -in cle-publique.req -out certificat.pem
</pre>

Pour que les clients (http, mail, ftp, ...) reconnaissent comme valide les certificats que vous signez avec votre AC il faut ajouter le fichier <code>/etc/ssl/root_ca/root_ca.pem</code> (et <code>/etc/ssl/core_ca/core_ca.pem</code> si votre serveur est mal configuré) à leur liste d'autorité de certification valide.

=Générer des certificats serveurs=

Pour commencer, ajoutez la section suivante dans votre fichier /etc/ssl/openssl.cnf :
<pre>
[SERVER_SSL]
nsComment = "SSL Server Certificate"
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid,issuer:always
issuerAltName = issuer:copy
subjectAltName = DNS:www.server.com, DNS:webmail.server.com
basicConstraints = critical,CA:FALSE
keyUsage = critical, digitalSignature, nonRepudiation, keyEncipherment
nsCertType = server
extendedKeyUsage = serverAuth
</pre>
Nous allons créer un certificat valide à la fois pour les adresses www.server.com et webmail.server.com (directive <code>subjectAltName</code>).
Attention cependant, lors de la génération du certificat, pensez à définir le <code>commonName</code> à www.server.com

On génère la clé privé et la demande de certificat :
<pre>
openssl req -newkey rsa:4096 -sha256 -keyout cle-privee.key -out cle-publique.req
</pre>
Puis on signe le certificat. L'option <code>-name</code> permet de préciser qu'il faut utiliser l'autorité <code>core_ca</code> pour signer notre nouveau certificat :
<pre>
openssl ca -name core_ca -extensions SERVER_SSL -in cle-publique.req -out certificat.pem
</pre>

=Générer des certificats clients=

Ajoutez la section suivante dans votre fichier /etc/ssl/openssl.cnf :
<pre>
[CLIENT_SSL]
nsComment = "SSL Client Certificate"
subjectKeyIdentifier = hash
authorityKeyIdentifier = keyid,issuer:always
issuerAltName = issuer:copy
subjectAltName = critical,email:copy,email:root@server.com,email:admin@server.com
basicConstraints = critical,CA:FALSE
keyUsage = critical,digitalSignature, nonRepudiation
nsCertType = client
extendedKeyUsage = clientAuth
</pre>

La génération du couple de clé repose sur le même principe que pour un serveur.

=Révoquer un certificat=

Identifiez le certificat dans le fichier <code>/etc/ssl/core_ca/index.txt</code>. Par exemple, pour révoquer le certificat qui a l'identifiant 03 :
<pre>openssl ca -revoke /etc/ssl/core_ca/newcerts/03.pem</pre>

=Compatibilité avec la bibliothèque de certificats des distributions Linux=

Placez le certificat de votre CA dans /etc/ssl/certs/myca.pem puis lancez les commandes suivantes :
<pre>cd /etc/ssl/certs/
chmod o+r myca.pem
ln -s myca.pem `openssl x509 -hash -noout -in myca.pem`.0
cd
</pre>

=Génération de certificats ECDSA=

<pre>openssl ecparam -list_curves</pre>

Les 2 courbes les plus supportées sont prime256v1 et secp384r1

<pre>openssl ecparam -name prime256v1 -out prime256v1.pem</pre>
Puis à la génération de la clé, il faudra préciser :
<pre>-newkey ec:prime256v1.pem</pre>

Monitoring UPS Eaton avec Nut

2026-09-25T14:00:31Z

Pfoo : /* Automatisation */

[[category:debian]]
[[category:monitoring]]

=Eaton 3S=
<pre>
#$ lsusb
...
Bus 003 Device 002: ID 0463:ffff MGE UPS Systems UPS
...
</pre>

Installez nut :
<pre>apt install nut</pre>

/etc/nut/ups.conf (vendorid basé sur la sortie de <code>lsusb</code>) :
<pre>
[eaton]
driver = usbhid-ups
port = auto
vendorid = 0463
pollfreq = 15
desc = "Eaton 3S"
</pre>

Dans le fichier <code>/etc/nut/nut.conf</code> modifier la valeur <code>MODE=none</code> en :
<pre>MODE=standalone</pre>

Lancez le driver :
<pre>
#$ upsdrvctl start
Network UPS Tools - UPS driver controller 2.8.1
Network UPS Tools - Generic HID driver 0.52 (2.8.1)
USB communication driver (libusb 1.0) 0.46
libusb1: Could not open any HID devices: insufficient permissions on everything
No matching HID UPS found
upsnotify: failed to notify about state 4: no notification tech defined, will not spam more about it
Driver failed to start (exit status=1)
</pre>

Vous terminez avec une erreur. C'est lié au fait que le device usb n'est accessible qu'a root, alors que le démon upsd tourne sous l'utilisateur ups. 
Notez l'id vendeur (0463) et l'id produit (ffff). 
Le fix est très simple : créer le fichier <code>/etc/udev/rules.d/90-nut-ups.rules</code> contenant :
<pre>
# Eaton 3S
ACTION=="add", SUBSYSTEM=="usb", ATTR{idVendor}=="0463", ATTR{idProduct}=="ffff", MODE="0660", GROUP="nut"
</pre>

Ensuite relancez udev, puis déconnetez/connectez le port usb de votre onduleur :
<pre>systemctl restart udev</pre>

Ca marche tout de suite mieux !
<pre>
#$ upsdrvctl start
Network UPS Tools - UPS driver controller 2.8.1
Network UPS Tools - Generic HID driver 0.52 (2.8.1)
USB communication driver (libusb 1.0) 0.46
Duplicate driver instance detected (PID file /run/nut/usbhid-ups-eaton.pid exists)! Terminating other driver!
Using subdriver: MGE HID 1.46
</pre>

Connectez vous :
<pre>
upsc -l
upsc eaton@localhost
</pre>

Pour voir la durée restante sur batterie :
<pre>upsc eaton@localhost battery.runtime</pre>
ou :
<pre>upsc eaton@localhost | grep -e battery.runtime -e battery.charge -e ups.load -e ups.status</pre>

==Automatisation==
Créez un utilisateur dans <code>/etc/nut/upsd.users</code> :
<pre>
[upsmon]
password = <Password>
upsmon primary
actions = SET
instcmds = ALL
</pre>

Puis dans <code>/etc/nut/upsmon.conf</code> :
<pre>
MONITOR eaton@localhost 1 upsmon <Password> primary
</pre>

Relancez les services :
<pre>
systemctl restart nut-server.service
systemctl restart nut-monitor.service
</pre>

Vous pouvez a modifier la charge batterie minimale avant shutdown (20 par défaut) :
<pre>upsrw -s battery.charge.low=15 -u upsmon -p <Password> eaton@localhost</pre>

Unattended upgrades

2026-09-24T22:13:11Z

Pfoo : /* Redémarrage automatique des services */

[[Category:Serveur]]
[[category:Security]]
[[category:apt]]

<pre>
apt install unattended-upgrades
dpkg-reconfigure unattended-upgrades
echo 'APT::Periodic::Unattended-Upgrade-Time "3";' >> /etc/apt/apt.conf.d/20auto-upgrades
echo 'APT::Periodic::RandomSleep "60";' >> /etc/apt/apt.conf.d/20auto-upgrades
sed -i 's|^//Unattended-Upgrade::MailReport "on-change";$|Unattended-Upgrade::MailReport "on-change";|' /etc/apt/apt.conf.d/50unattended-upgrades
sed -i "s|^//Unattended-Upgrade::Mail \"\";$|Unattended-Upgrade::Mail \"root@$(hostname -f)\";|" /etc/apt/apt.conf.d/50unattended-upgrades
</pre>

Exemple de configuration pour proxmox backup server :
<pre>
// Proxmox
"origin=Proxmox,codename=${distro_codename},label=Proxmox Backup System Debian Repository";
</pre>

Exemple de configuration pour proxmox VE :
<pre>
// Proxmox
"origin=Proxmox,codename=${distro_codename},label=Proxmox Debian Repository";
</pre>

Exemple de configuration pour zabbix :
<pre>
// Zabbix
"origin=Zabbix,codename=${distro_codename},label=zabbix";
</pre>

=Redémarrage automatique des services=
Dans le fichier <code>/etc/needrestart/needrestart.conf</code> définissez <code>$nrconf{restart} = 'a';</code> :
<pre>sed -i "s/^#\$nrconf{restart} = 'i';/\$nrconf{restart} = 'a';/" /etc/needrestart/needrestart.conf</pre>

==Forcer le mode interactif quand vous êtes en shell bash==
Ajoutez dans <code>~/.bashrc</code> :
<pre>export NEEDRESTART_MODE='i'</pre>

Monitoring UPS Eaton avec Nut

2026-09-23T14:47:16Z

Pfoo : /* Eaton 3S */

[[category:debian]]
[[category:monitoring]]

=Eaton 3S=
<pre>
#$ lsusb
...
Bus 003 Device 002: ID 0463:ffff MGE UPS Systems UPS
...
</pre>

Installez nut :
<pre>apt install nut</pre>

/etc/nut/ups.conf (vendorid basé sur la sortie de <code>lsusb</code>) :
<pre>
[eaton]
driver = usbhid-ups
port = auto
vendorid = 0463
pollfreq = 15
desc = "Eaton 3S"
</pre>

Dans le fichier <code>/etc/nut/nut.conf</code> modifier la valeur <code>MODE=none</code> en :
<pre>MODE=standalone</pre>

Lancez le driver :
<pre>
#$ upsdrvctl start
Network UPS Tools - UPS driver controller 2.8.1
Network UPS Tools - Generic HID driver 0.52 (2.8.1)
USB communication driver (libusb 1.0) 0.46
libusb1: Could not open any HID devices: insufficient permissions on everything
No matching HID UPS found
upsnotify: failed to notify about state 4: no notification tech defined, will not spam more about it
Driver failed to start (exit status=1)
</pre>

Vous terminez avec une erreur. C'est lié au fait que le device usb n'est accessible qu'a root, alors que le démon upsd tourne sous l'utilisateur ups. 
Notez l'id vendeur (0463) et l'id produit (ffff). 
Le fix est très simple : créer le fichier <code>/etc/udev/rules.d/90-nut-ups.rules</code> contenant :
<pre>
# Eaton 3S
ACTION=="add", SUBSYSTEM=="usb", ATTR{idVendor}=="0463", ATTR{idProduct}=="ffff", MODE="0660", GROUP="nut"
</pre>

Ensuite relancez udev, puis déconnetez/connectez le port usb de votre onduleur :
<pre>systemctl restart udev</pre>

Ca marche tout de suite mieux !
<pre>
#$ upsdrvctl start
Network UPS Tools - UPS driver controller 2.8.1
Network UPS Tools - Generic HID driver 0.52 (2.8.1)
USB communication driver (libusb 1.0) 0.46
Duplicate driver instance detected (PID file /run/nut/usbhid-ups-eaton.pid exists)! Terminating other driver!
Using subdriver: MGE HID 1.46
</pre>

Connectez vous :
<pre>
upsc -l
upsc eaton@localhost
</pre>

Pour voir la durée restante sur batterie :
<pre>upsc eaton@localhost battery.runtime</pre>
ou :
<pre>upsc eaton@localhost | grep -e battery.runtime -e battery.charge -e ups.load -e ups.status</pre>

==Automatisation==
Créez un utilisateur dans <code>/etc/nut/upsd.users</code> :
<pre>
[upsmon]
password = <Password>
actions = SET
instcmds = ALL
</pre>

Puis dans <code>/etc/nut/upsmon.conf</code> :
<pre>
MONITOR eaton@localhost 1 upsmon <Password> primary
</pre>

Relancez les services :
<pre>
systemctl restart nut-server.service
systemctl restart nut-monitor.service
</pre>

Vous pouvez a modifier la charge batterie minimale avant shutdown (20 par défaut) :
<pre>upsrw -s battery.charge.low=15 -u upsmon -p <Password> eaton@localhost</pre>

Unattended upgrades

2026-08-16T13:27:15Z

Pfoo :

[[Category:Serveur]]
[[category:Security]]
[[category:apt]]

<pre>
apt install unattended-upgrades
dpkg-reconfigure unattended-upgrades
echo 'APT::Periodic::Unattended-Upgrade-Time "3";' >> /etc/apt/apt.conf.d/20auto-upgrades
echo 'APT::Periodic::RandomSleep "60";' >> /etc/apt/apt.conf.d/20auto-upgrades
sed -i 's|^//Unattended-Upgrade::MailReport "on-change";$|Unattended-Upgrade::MailReport "on-change";|' /etc/apt/apt.conf.d/50unattended-upgrades
sed -i "s|^//Unattended-Upgrade::Mail \"\";$|Unattended-Upgrade::Mail \"root@$(hostname -f)\";|" /etc/apt/apt.conf.d/50unattended-upgrades
</pre>

Exemple de configuration pour proxmox backup server :
<pre>
// Proxmox
"origin=Proxmox,codename=${distro_codename},label=Proxmox Backup System Debian Repository";
</pre>

Exemple de configuration pour proxmox VE :
<pre>
// Proxmox
"origin=Proxmox,codename=${distro_codename},label=Proxmox Debian Repository";
</pre>

Exemple de configuration pour zabbix :
<pre>
// Zabbix
"origin=Zabbix,codename=${distro_codename},label=zabbix";
</pre>

=Redémarrage automatique des services=
Dans le fichier <code>/etc/needrestart/needrestart.conf</code> définissez <code>$nrconf{restart} = 'a';</code> :
<pre>sed "s/^#\$nrconf{restart} = 'i';/\$nrconf{restart} = 'a';/" /etc/needrestart/needrestart.conf</pre>

==Forcer le mode interactif quand vous êtes en shell bash==
Ajoutez dans <code>~/.bashrc</code> :
<pre>export NEEDRESTART_MODE='i'</pre>

Unattended upgrades

2026-08-16T12:48:42Z

Pfoo : /* Redémarrage automatique des services */

<pre>
apt install unattended-upgrades
dpkg-reconfigure unattended-upgrades
echo 'APT::Periodic::Unattended-Upgrade-Time "3";' >> /etc/apt/apt.conf.d/20auto-upgrades
echo 'APT::Periodic::RandomSleep "60";' >> /etc/apt/apt.conf.d/20auto-upgrades
sed -i 's|^//Unattended-Upgrade::MailReport "on-change";$|Unattended-Upgrade::MailReport "on-change";|' /etc/apt/apt.conf.d/50unattended-upgrades
sed -i "s|^//Unattended-Upgrade::Mail \"\";$|Unattended-Upgrade::Mail \"root@$(hostname -f)\";|" /etc/apt/apt.conf.d/50unattended-upgrades
</pre>

Exemple de configuration pour proxmox backup server :
<pre>
// Proxmox
"origin=Proxmox,codename=${distro_codename},label=Proxmox Backup System Debian Repository";
</pre>

Exemple de configuration pour proxmox VE :
<pre>
// Proxmox
"origin=Proxmox,codename=${distro_codename},label=Proxmox Debian Repository";
</pre>

Exemple de configuration pour zabbix :
<pre>
// Zabbix
"origin=Zabbix,codename=${distro_codename},label=zabbix";
</pre>

=Redémarrage automatique des services=
Dans le fichier <code>/etc/needrestart/needrestart.conf</code> définissez <code>$nrconf{restart} = 'a';</code> :
<pre>sed "s/^#\$nrconf{restart} = 'i';/\$nrconf{restart} = 'a';/" /etc/needrestart/needrestart.conf</pre>

==Forcer le mode interactif quand vous êtes en shell bash==
Ajoutez dans <code>~/.bashrc</code> :
<pre>export NEEDRESTART_MODE='i'</pre>

Unattended upgrades

2026-08-16T12:03:39Z

Pfoo : /* Redémarrage automatique des services */

Unattended upgrades

2026-08-16T12:02:49Z

Pfoo :

<pre>
apt install unattended-upgrades
dpkg-reconfigure unattended-upgrades
echo 'APT::Periodic::Unattended-Upgrade-Time "3";' >> /etc/apt/apt.conf.d/20auto-upgrades
echo 'APT::Periodic::RandomSleep "60";' >> /etc/apt/apt.conf.d/20auto-upgrades
sed -i 's|^//Unattended-Upgrade::MailReport "on-change";$|Unattended-Upgrade::MailReport "on-change";|' /etc/apt/apt.conf.d/50unattended-upgrades
sed -i "s|^//Unattended-Upgrade::Mail \"\";$|Unattended-Upgrade::Mail \"root@$(hostname -f)\";|" /etc/apt/apt.conf.d/50unattended-upgrades
</pre>

Exemple de configuration pour proxmox backup server :
<pre>
// Proxmox
"origin=Proxmox,codename=${distro_codename},label=Proxmox Backup System Debian Repository";
</pre>

Exemple de configuration pour proxmox VE :
<pre>
// Proxmox
"origin=Proxmox,codename=${distro_codename},label=Proxmox Debian Repository";
</pre>

Exemple de configuration pour zabbix :
<pre>
// Zabbix
"origin=Zabbix,codename=${distro_codename},label=zabbix";
</pre>

=Redémarrage automatique des services=
Dans le fichier <code>/etc/needrestart/needrestart.conf</code> définissez <code>$nrconf{restart} = 'a';</<code> :
<pre>sed "s/^#\$nrconf{restart} = 'i';/\$nrconf{restart} = 'a';/" /etc/needrestart/needrestart.conf</pre>

Unattended upgrades

2026-08-16T12:02:35Z

Pfoo :

<pre>
apt install unattended-upgrades
dpkg-reconfigure unattended-upgrades
echo 'APT::Periodic::Unattended-Upgrade-Time "3";' >> /etc/apt/apt.conf.d/20auto-upgrades
echo 'APT::Periodic::RandomSleep "60";' >> /etc/apt/apt.conf.d/20auto-upgrades
sed -i 's|^//Unattended-Upgrade::MailReport "on-change";$|Unattended-Upgrade::MailReport "on-change";|' /etc/apt/apt.conf.d/50unattended-upgrades
sed -i "s|^//Unattended-Upgrade::Mail \"\";$|Unattended-Upgrade::Mail \"root@$(hostname -f)\";|" /etc/apt/apt.conf.d/50unattended-upgrades
</pre>

Exemple de configuration pour proxmox backup server :
<pre>
// Proxmox
"origin=Proxmox,codename=${distro_codename},label=Proxmox Backup System Debian Repository";
</pre>

Exemple de configuration pour proxmox VE :
<pre>
// Proxmox
"origin=Proxmox,codename=${distro_codename},label=Proxmox Debian Repository";
</pre>

Exemple de configuration pour zabbix :
<pre>
// Zabbix
"origin=Zabbix,codename=${distro_codename},label=zabbix";
</pre>

=Redémarrage automatique des services=
Dans le fichier <code>/etc/needrestart/needrestart.conf</code> définissez code>$nrconf{restart} = 'a';</<code> :
<pre>sed "s/^#\$nrconf{restart} = 'i';/\$nrconf{restart} = 'a';/" /etc/needrestart/needrestart.conf</pre>

Unattended upgrades

2026-08-16T10:56:01Z

Pfoo :

Unattended upgrades

2026-06-26T09:56:28Z

Pfoo :

Unattended upgrades

2026-06-22T14:23:58Z

Pfoo :

<pre>
apt install unattended-upgrades
dpkg-reconfigure unattended-upgrades
echo 'APT::Periodic::Unattended-Upgrade-Time "3";' >> /etc/apt/apt.conf.d/20auto-upgrades
echo 'APT::Periodic::RandomSleep "3600";' >> /etc/apt/apt.conf.d/20auto-upgrades
sed -i 's|^//Unattended-Upgrade::MailReport "on-change";$|Unattended-Upgrade::MailReport "on-change";|' /etc/apt/apt.conf.d/50unattended-upgrades
sed -i "s|^//Unattended-Upgrade::Mail \"\";$|Unattended-Upgrade::Mail \"root@$(hostname -f)\";|" /etc/apt/apt.conf.d/50unattended-upgrades
</pre>

Exemple de configuration pour proxmox backup server :
<pre>
// Proxmox
"origin=Proxmox,codename=${distro_codename},label=Proxmox Backup System Debian Repository";
</pre>

Exemple de configuration pour proxmox VE :
<pre>
// Proxmox
"origin=Proxmox,codename=${distro_codename},label=Proxmox Debian Repository";
</pre>

Exemple de configuration pour zabbix :
<pre>
// Zabbix
"origin=Zabbix,codename=${distro_codename},label=zabbix";
</pre>

Unattended upgrades

2026-06-22T14:19:26Z

Pfoo :

Unattended upgrades

2026-06-18T21:58:49Z

Pfoo :

Unattended upgrades

2026-06-18T21:08:10Z

Pfoo : Page créée avec « <pre> apt install unattended-upgrades echo 'APT::Periodic::Unattended-Upgrade-Time "3";' >> /etc/apt/apt.conf.d/20auto-upgrades echo 'APT::Periodic::RandomSleep "3600";' >> /etc/apt/apt.conf.d/20auto-upgrades sed -i 's|^//Unattended-Upgrade::MailReport "on-change";$|Unattended-Upgrade::MailReport "on-change";|' /etc/apt/apt.conf.d/50unattended-upgrades sed -i "s|^//Unattended-Upgrade::Mail \"\";$|Unattended-Upgrade::Mail \"root@$(hostname -f)\";|" /etc/apt/apt.co... »

<pre>
apt install unattended-upgrades
echo 'APT::Periodic::Unattended-Upgrade-Time "3";' >> /etc/apt/apt.conf.d/20auto-upgrades
echo 'APT::Periodic::RandomSleep "3600";' >> /etc/apt/apt.conf.d/20auto-upgrades
sed -i 's|^//Unattended-Upgrade::MailReport "on-change";$|Unattended-Upgrade::MailReport "on-change";|' /etc/apt/apt.conf.d/50unattended-upgrades
sed -i "s|^//Unattended-Upgrade::Mail \"\";$|Unattended-Upgrade::Mail \"root@$(hostname -f)\";|" /etc/apt/apt.conf.d/50unattended-upgrades
</pre>

Installation de configuration du serveur web Apache 2.4 sous Debian Bullseye

2026-04-18T16:54:21Z

Pfoo : /* http2 */

[[Category:serveur]]
[[Category:debian]]

=Les différents mpm=

Les différents mpm de apache sont fournis sous forme de modules et ce dès l'installation du paquet <code>apache2</code>. La seule exception reste le mpm ITK qui nécessite l'installation du paquet <code>libapache2-mpm-itk</code>.

=Installation=
<pre>apt install apache2</pre>

=Considérations de sécurité=

* Même si les directives sont lues dans l'ordre dans lequel vous les inscrivez, certaines restent appliqués avant les autres (cf https://httpd.apache.org/docs/2.4/sections.html#merging). L'ordre d'application de apache est <Directory> -> htaccess -> <DirectoryMatch> -> <files> et <filesmatch> -> <Location> et <LocationMatch>. La dernière directive appliquée prendra le dessus sur les autres.
* Encore une fois, prenez garder à la manière dont les directives se chaînent. Cela peut conduire à de graves défaut de sécurité étant donné que la directive [http://httpd.apache.org/docs/2.4/fr/mod/mod_authz_core.html#authmerging authmerging] est par défaut à off dans apache. En gros, si vous interdisez l'accès au répertoire "config" avec une directive <Directory> puis que vous autorisez l'accès au répertoire parent à l'aide d'une directive <Location>, le répertoire config deviendra accessible en lecture et ce pour deux raisons : l'ordre d'application des directives (Location appliqué après Directory) et le fait que les autorisations d'accès s'annulent les unes les autres (authmerging à off).
* '''De manière globale, préférez la directive <Directory> (et ses dérivés comme <files> <DirectoryMatch> ou <FilesMatch>) a la directive <Location> (et ses dérivés comme <LocationMatch>) quand vous sécurisez des chemins du système de fichier de votre machine.''' N'utilisez <Location> que si vous définissez les règles d'accès à une ressource qui ne se situe pas sur le système de fichier (page générée par une base de donnée par exemple)
* La configuration de apache sous debian est modulaire, pensez cependant à lire l'ensemble de cette configuration, vous pourriez y trouver des surprises (y compris /etc/apache2/apache2.conf !). N'oubliez pas non plus l'ordre de lecture qui peut changer la manière dont les règles s'appliquent : <code>/etc/apache2/apache2.conf</code>, puis <code>conf-enabled/*.conf</code> (ordre alphanumérique), puis <code>sites-enabled/*.conf</code> (ordre alphanumérique).
* Faites attention aux directives Include fournies par certains paquets. Après installation, ils sont parfois automatiquement chargés, parfois il faudra passer par <code>a2enconf</code>. Lisez toujours tout fichier que vous incluez à la configuration de apache ou d'une vhost !
* De même, faites attentions à certains paquets qui ont tendance à ajouter par défaut un fichier de configuration et à l'activer dans <code>conf-enabled/</code>. C'est par exemple le cas de phpmyadmin qui se retrouve activé par défaut via <code>conf-enabled/</code> et qui est donc accessible globalement y compris si vous avez défini des virtualhosts avec des règles de sécurité pour phpmyadmin (qui seront donc caduques).
* Par défaut, debian autorise l'accès à <code>/usr/share</code>. Il peut être bon de désactiver globalement ce comportement en créant un fichier de configuration dans conf-enabled, quitte à réactiver l'accès au cas par cas.

== Exemple d'erreur a ne pas faire ==

* Dans cet exemple, on autorise l'accès a /srv/http/, puis on interdit l'accès a /srv/http/admin, puis on réautorise l'accès a l'ensemble de l'arborescence avec la dernière directive Location. Résultat : votre interface d'admin est accessible de l'extérieur.
<pre>
DocumentRoot /srv/http/
<Directory /srv/http/>
require all granted
</Directory>
<Directory /srv/http/admin>
require all denied
</Directory>
<Location />
require all granted
</Location>
</pre>

* Dans cet exemple, l'utilisation de la directive location rendra accessible le fichier /srv/http/.htaccess malgré l'utilisation d'un FilesMatch antérieur.
<pre>
<FilesMatch ".htaccess">
Require all denied
</FilesMatch>
DocumentRoot /srv/http/
<Location />
require all granted
</Location>
</pre>

=Configuration=

==Configuration par défaut de apache==

* <code>/etc/apache2/apache2.conf</code>
Le fichier de configuration par défaut de apache. Il défini quelques variables dont vous ne devriez, dans la majorité des cas, pas avoir à vous soucier. Plus important, c'est grâce a lui que les autres fichiers de configuration sont chargés. 
A noter cependant, ce fichier défini par défaut la variable <code>AllowOverride None</code> pour la totalité de votre arborescence linux (ce qui empêche un éventuel fichier <code>htaccess</code> quelque part dans votre arborescence de modifier la configuration de sécurité d'un dossier) et interdit l'accès à toute votre arborescence à l'exception de <code>/usr/share</code> 
Evitez de faire des modifications dans ce fichier, nous le feront plus loin dans les fichiers de configuration indépendants.

* <code>/etc/apache2/ports.conf</code>
Ce fichier se charge de définir les ports sur lesquels apache écoutera. Si vous souhaitez utiliser apache sur d'autres ports sur 80 et 443, il faudra jouter des lignes <code>Listen</code> pour chaque port.

* <code>/etc/apache2/mods-enabled/*.conf</code> : fichiers chargés dans l'ordre numérique puis alphabétique
Charge les différents modules installés ainsi que leur configuration. Dans la majorité des cas, la configuration par défaut des modules est tout à fait convenable d'un point de vue sécurité. 
Gardez cependant en mémoire les fichiers <code>mpm_event.conf</code> et <code>mpm_prefork.conf</code> qui peuvent vous permettre de d'optimiser les performances de apache.
A noter le fichier <code>status.conf</code> qui restreint l'utilisation de module status a l'ip locale du serveur.

* <code>/etc/apache2/conf-enabled/*.conf</code> : fichiers chargés dans l'ordre numérique puis alphabétique
** <code>security.conf</code> : passez principalement la variable <code>ServerTokens prod</code>
** <code>javascript-common.conf</code> : fichier à surveiller étant donné qu'il créé un alias global /javascript, cependant, l'accès ne sera pas autorisé par défaut (voir plus loin)
** <code>serve-cgi-bin.conf</code> : un trou de sécurité à part entière qui active les scripts cgi installés dans toutes les vhosts ... je vous conseille rapidement de désactiver ce script tout simplement et d'activer les scripts cgi a la demande dans les vhosts le necessitant. Attention cependant, désactiver ce script rendra potentiellement inutilisable les configurations par défaut fournis avec certains paquets (smokeping par exemple). Pour le désactiver, rien de plus simple : <pre>a2disconf serve-cgi-bin.conf</pre>

==Configuration de sécurité en sus==

Nous allons créer un fichier afin d'interdire l'accès à certains dossiers qu'apache autorise en général par défaut. Notez qu'activer ces options empêchera la configuration par défaut de nombreux paquets debian de fonctionner. 
Créez le fichier <code>/etc/apache2/conf-available/zzz-local-security.conf</code> (le faire commencer par zzz devrait vous assurer qu'il soit lu en dernier) contenant :
<pre>
# Disable access to / by default
<Directory />
Options -Includes -IncludesNOEXEC -ExecCGI -Indexes -FollowSymLinks -SymLinksIfOwnerMatch -MultiViews
AllowOverride None
Require all denied
</Directory>

# Disable access to /usr/share by default
<Directory /usr/share/>
Options -Includes -IncludesNOEXEC -ExecCGI -Indexes -FollowSymLinks -SymLinksIfOwnerMatch -MultiViews
AllowOverride None
Require all denied
</Directory>

# Disable access to /usr/lib/cgi-bin/ by default (will override conf-enabled/serve-cgi-bin.conf if enabled)
<Directory /usr/lib/cgi-bin/>
Options -Includes -IncludesNOEXEC -ExecCGI -Indexes -FollowSymLinks -SymLinksIfOwnerMatch -MultiViews
AllowOverride None
Require all denied
</Directory>

# Disable access to svn tree
<DirectoryMatch "/\.svn">
Require all denied
</DirectoryMatch>

# Disable access to git tree
<DirectoryMatch "/\.git">
Require all denied
</DirectoryMatch>

# Disable access to .htaccess and .htpasswd files
<FilesMatch "^\.ht">
Require all denied
</FilesMatch>

# Disable access to htpasswd and htdigest files as some users don't make them hidden
<Files htpasswd>
Require all denied
</Files>
<Files htdigest>
Require all denied
</Files>

# Disable access to .user.ini (used by php for local config)
<Files .user.ini>
Require all denied
</Files>

# Deny access to most php project configuration files (localsettings.php, config.php but also things like config.anything.php
<FilesMatch "(?i)^(config-db|wp-config|commonsettings|localsettings|config)(\.([a-z]|[0-9])+)*\.ph(ar|p|tml)$">
Require all denied
</FilesMatch>

# Enforce a restricted open_basedir if php7 module is loaded
<IfModule php7_module>
php_admin_value open_basedir /var/www/
</IfModule>

# Enforce mpm-itk security if mpm itk is loaded
<IfModule mpm_itk_module>
# first uid need to be 33 for www-data (default uid/gid, can be tuned)
LimitUIDRange 33 2000
LimitGIDRange 33 2000
# Drop most root capabilities in the parent process.
# Instead run as the user given by the User/Group directives with some extra capabilities
# Somewhat more secure.
EnableCapabilities on
</IfModule>
</pre>

Vous pouvez noter que les sections concernant <code>/usr/lib/cgi-bin/</code> et <code>/usr/share/</code> sont superflues étant données que la section concernant <code>/</code> couvre déjà ces répertoires. Il est néanmoins pratique d'avoir prédéfini des règles pour ces deux dossiers car ce sont ceux pour lesquels vous risquez le plus d'avoir à assouplir les règles de sécurité à l'échelle du serveur entier.

Activez le fichier de configuration avec <code>a2enconf</code> :
<pre>a2enconf zzz-local-security.conf
/etc/init.d/apache2 reload</pre>

==Imbrications des directives==

Pour la directive <code>Location</code>, le mappage se fait du moins spécifique au plus spécifique :
<pre>
<Location "/foo">
</Location>
<Location "/foo/bar">
</Location>
</pre>

Pour les <code>Alias</code> et les proxy (<code>ProxyPass</code>), le mappage se fait dans le sens inverse, du plus spécifique au moins spécifique :
<pre>
Alias "/foo/bar" "/srv/www/uncommon/bar"
Alias "/foo" "/srv/www/common/foo"
</pre>

<pre>
ProxyPass "/special-area" "http://special.example.com"
ProxyPass "/" "http://www.example.com"
</pre>

==Vérifier la configuration de apache==

<pre>apache2ctl configtest</pre>

=php via mod-php=

<pre>
apt install libapache2-mod-php
a2enmod php7*
</pre>

Seul les mpm prefork et itk sont compatibles avec ce module php. C'est le plus simple à configurer, mais les performances sont limitées.

==Sécurité recommandée==

* open_basedir avec une règle par défaut définie dans [[#Configuration_de_sécurité_en_sus|/etc/apache2/mods-enabled/zzz_localsecurity.conf]]
** Vous pouvez ensuite appliquer pour chaque vhost une règle spécifique avec <code>php_admin_value open_basedir /var/www/path1/:/var/www/path2/</code>
* le mpm itk afin de pouvoir lancer les scripts php avec les permissions utilisateurs
** Notez que me mpm-itk impose d'activer le module mpm-prefork (et ne permet pas d'utiliser mpm-worker ou mpm-event)

=php via php-fpm=

Ce mode de fonctionnement est plus complexe, mais augmente les performances et permet d'utiliser les mpm worker et event (eux même plus performants que prefork et itk). 
Le principe est d'avoir un daemon php-fpm exécutant les scripts php. Apache s'y connecte en fcgi au moyen d'un socket. 
Chaque daemon php-fpm existe au sein d'un pool qui a son propre socket. Pour des raisons de sécurité, il est conseillé d'utiliser un pool (donc un socket) différent pour chaque site. En effet, si un script malveillant est exécuté au sein d'un pool, il a le potentiel de contaminer l'ensemble du pool et donc l'ensemble des sites utilisant le pool. Il est également possible d'attribuer un utilisateur/groupe spécifique à chaque pool ce qui compense l'impossibilité d'utiliser mpm-itk.

Pour installer et activer php-fpm :
<pre>
apt install php-fpm
a2enmod proxy_fcgi setenvif
a2enconf php7.4-fpm
/etc/init.d/apache2 restart
</pre>

NB : sous buster il faut également installer <code>libapache2-mod-fastcgi</code>

Si vous aviez installé le module php classique, désactivez le (il est utilisé par défaut) et passez également sur le mpm worker :
<pre>
a2dismod php7.4
a2dismod mpm_prefork mpm_itk
a2enmod mpm_worker
apt remove libapache2-mod-php7.4 libapache2-mod-php
/etc/init.d/apache2 restart
</pre>

Quand vous faites des modifications, il faudra selon le cas relancer apache2, fpm, ou les deux :
<pre>
/etc/init.d/apache2 restart
/etc/init.d/php7.4-fpm restart
</pre>

==Passer des options de configuration à php-fpm==

Il existe 5 manières de passer des options/arguments à php avec FPM.

===php.ini===

La première méthode consiste à modifier directement le fichier de configuration principal de php/fpm : <code>/etc/php/7.4/fpm/php.ini</code>. 
Les options appliquées le seront à l'ensemble des scripts lancé par php/fpm et ce quelque soit le pool utilisé. '''Cela n'est donc viable que pour une configuration "par défaut" valable pour l'ensemble de votre serveur et quelque soit le site (ou que vous modifierez par d'autre méthode décrites plus bas).'''

===php-fpm.conf===

'''Cette méthode n'est pas recommandée''' 
Elle consiste à éditer directement le fichier <code>/etc/php/7.4/fpm/php-fpm.conf</code> afin d'y ajouter les <code>php_flag</code>, <code>php_value</code> ou <code>php_admin_value</code> souhaitées. Ces valeurs s'appliqueront à l'ensemble des pools.

Exemples :
<pre>
php_flag[display_errors] = off
php_admin_value[open_basedir] = /srv/admin/
php_value[date.timezone] = Europe/Paris
</pre>

===Via la configuration de apache ou .htaccess===

'''Cette méthode n'est pas recommandée''' 
Le principe est d'utiliser des variables d'environnement avec <code>SetEnv</code> pour définir des valeurs de configuration.

Par exemple :
<pre>
# attention à bien respecter l'absence d'absence avant et après le signe =
SetEnv PHP_ADMIN_VALUE "open_basedir=/srv/admin/"
SetEnv PHP_VALUE "date.timezone=Europe/Paris"
</pre>

Ce mode de fonctionnement est risqué et imprévisible, car les variables d'environnement restent actives longtemps au sein d'un même pool. Or, vous pourriez être amené, au sein d'un même site, de modifier différemment la configuration php selon le contexte.

Par exemple : host1 et host2 ; host1 a pas de valeur date.timezone, host2 a une valeur date.timezone définie par SetEnv
* On visite host1 : date.timezone = default from php.ini (logique)
* On visite host2 : date.timezone = appliqué via SetEnv (logique)
* On re-visite host1 : date.timezone = appliqué via SetEnv ! (comportement non voulu)
Dans le cas présent, une "ancienne" valeur de date.timezone est utilisée alors qu'elle ne devrait pas l'être, parce que vous avez chargé le site host1 avec le même thread du même pool que host2. Si par chance vous changez de thread (sur un thread qui n'a pas encore chargé host1) vous aurez la valeur par défaut a nouveau.

===pool.d/www.conf===

'''C'est la méthode préférée pour définir une valeur appliquée à un site spécifique sans modifier le fichier php.ini.''' 
Le principe est de créer, pour chaque site, un fichier de configuration dans <code>/etc/php/7.4/fpm/pool.d/</code> définissant un socket séparé. 
Cette méthode permet également de faire tourner les scripts php sous un autre utilisateur/groupe.

Par défaut, après avoir activé php-fpm, apache est configuré par <code>/etc/apache2/conf-enabled/php7.4-fpm.conf</code> pour utiliser le socket <code>/run/php/php7.4-fpm.sock</code> lui même défini par <code>/etc/php/7.4/fpm/pool.d/www.conf</code> 

Par exemple, copiez <code>/etc/php/7.4/fpm/pool.d/www.conf</code> en tant que <code>/etc/php/7.4/fpm/pool.d/test.conf</code> en modifiant :
<pre>
; on remplace [www] par [test] (c'est le nom du pool)
[test]
user = foo
group = bar
listen = /run/php/php7.4-fpm-test.sock
php_value[date.timezone] = Europe/Paris
</pre>
Après avoir redémarré php-fpm (/etc/init.d/php7.4-fpm restart), vous aurez un socket spécifique dans <code>/run/php/php7.4-fpm-test.sock</code> permettant d'accéder à ce pool, qui lui même executera les scripts sous l'utilisateur <code>foo</code> et le groupe <code>bar</code> et en définissant la valeur date.timezone = Europe/Paris

Ensuite, modifiez la configuration de la VirtualHost dont vous souhaitez adapter les valeurs php ou l'utilisateur en y ajoutant :
<pre>
<FilesMatch ".+\.ph(ar|p|tml)$">
SetHandler "proxy:unix:/run/php/php7.4-fpm-test.sock|fcgi://localhost"
</FilesMatch>
</pre>

Notez que cette méthode définie à la fois les valeurs Local et Master de php, et s'harmonise bien avec la méthode suivante (qui ne modifie que les valeurs Local).

===fichier .user.ini===

Cette dernière méthode permet de définir uniquement les valeurs Local de php, a l'inverse de la précédente qui définie les valeurs Local et Master. 
Elle consiste à créer, dans le path de votre documentroot, un fichier <code>.user.ini</code> dans lequel vous pouvez adapter les valeurs de php. Vous pouvez utiliser plusieurs de ces fichiers dans plusieurs répertoires de votre documentroot, en gardant à l'esprit qu'une valeur définie dans le répertoire parent est appliqué dans le répertoire enfant (mais peut être redéfinie autrement). N'oubliez pas que ce fichier doit pouvoir être lu par l'utilisateur de php-fpm (par défaut www-data).

Par exemple :
* dans <code>/srv/admin/.user.ini</code> : <code>date.timezone = Europe/London</code>
* dans <code>/srv/admin/main/.user.ini</code> : <code>date.timezone = Europe/Paris</code>

Les fichiers php exécuté dans /srv/admin/ auront la timezone définie à Europe/London et ceux dans /srv/admin/main/ auront la timezone Europe/Paris.

Si la même valeur est définie dans le pool.d et dans un .user.ini, c'est celle de .user.ini qui sera appliquée. Attention quand même à quelques spécificités, par exemple, la valeur de open_basedir locale ne peut-être définie que dans des sous-dossiers de la valeur globale de pool.d.

Vous pouvez désactiver cette fonctionnalité (par sécurité et si vous n'en avez pas besoin) en vidant la variable suivante dans <code>/etc/php/7.4/php.ini</code> :
<pre>user_ini.filename =</pre>

==Attribuer un pool a une vhost==

<pre>
# PHP-FPM admin sock
<FilesMatch ".+\.ph(ar|p|tml)$">
SetHandler "proxy:unix:/run/php/php7.4-fpm-poolname.sock|fcgi://localhost"
</FilesMatch>
</pre>

=Note on PHP=

* php_value : peut-être utilisée dans la configuration apache, dans un virtualhost, dans un .htaccess. Ne peut que modifier les paramètres <code>PHP_INI_ALL</code> et <code>PHP_INI_PERDIR</code> défini sur https://www.php.net/manual/en/ini.list.php
* php_admin_value : peut-être utilisée uniquement dans la configuration apache et virtualhost, pas en .htaccess. Peut modifier tous les paramètres php.

=http2=

Ne fonctionnera qu'avec mpm_event (ou éventuellement mpm_worker) ce qui implique soit de ne pas utiliser php (ni mpm_itk), soit de passer par fcgi / php-fpm :
<pre>
a2dismod mpm_prefork
a2enmod mpm_event
a2enmod http2
</pre>

Vous pouvez vérifier si http2 fonctionne bien avec :
<pre> curl --http2 -sI http://url.tld/ -o /dev/null -w '%{http_version}\n'</pre>

=la gestion des virtualhosts=

L'architecture de configuration modulaire de apache sous debian propose de créer les fichiers de configuration des vhosts dans <code>/etc/apache2/sites-available/</code> puis de les activer avec <code>a2ensite</code> afin qu'ils soient lus via le dossier <code>/etc/apache2/sites-enabled</code> 
Je vous conseille cependant de créer, en plus, un dossier <code>/etc/apache2/sites-config</code> afin de créer des fichiers de configuration pouvant être utilisé dans plusieurs vhosts (par exemple, le même site, l'un en https, l'autre non) :
<pre>mkdir /etc/apache2/sites-config</pre>

==Configuration recommandée dans toute virtualhost==

===open_basedir===
open_basedir permet de limiter le champ d'action des fichiers php en terme de dossiers. Etant donné que nous avons défini un open_basedir restrictif un peu plus haut, si vous utilisez php, il est obligatoire de rédéfinir open_basedir pour correspondre aux dossiers auxquelles vos fichiers php doivent pouvoir accéder. En général, c'est tout simplement le même dossier que votre DocumentRoot
<pre>
php_admin_value open_basedir /votre/documentroot/
</pre>

Vous pouvez spécificer plusieurs path séparés par des <code>:</code> 
Notez qu'il est important de faire terminer le path par un <code>/</code> (le path <code>/votre/documentroot</code> est considéré comme <code>/votre/documentroot*</code>

===AllowOverride et .htaccess===

AllowOverride permet de définir les règles autorisées à être modifiées par un fichier <code>.htaccess</code> 
Notez que cette directive doit obligatoirement être définie dans un champ <Directory> 
La configuration apache que nous avons vu plus tôt désactive complètement les fichiers <code>.htaccess</code> dans la totalité du système de fichier. Le problème de ce comportement est que les fichiers htaccess seront tout simplement ignoré, or, de nombreux projets utilisent les fichiers htaccess pour protéger de la lecture certains répertoires sensibles (fichiers de configurations, etc). 
Plusieurs options s'offrent à vous :
* '''Si vous êtes certain que votre projet n'utilise pas de fichiers .htaccess, la question ne se pose même pas, gardez les fichiers htaccess désactivés''' ! Même s'ils sont pratiques, ils restent des fichiers relativement faciles à modifier (un peu de code foireux dans un module externe d'un CMS par exemple) et offrent donc une sécurité bien moindre que les directives définies directement dans la configuration de votre virtualhost apache ! Ils ont également un impact sur les performances de apache (nécessité pour apache de remonter l'arborescence à la recherche d'un .htaccess à chaque requête). 
* Si votre projet utilise des fichiers .htaccess, il est possible d'intégrer leur contenu à la configuration de votre virtualhost. Vous y gagniez ainsi en sécurité et en performances tout en limitant un vecteur d'attaque.
* Si votre projet utilise des fichiers .htaccess mais qu'ils ne peuvent pas être intégrés à la configuration de votre virtualhost (fichiers générés par un client dans le cadre d'une activité de hosting, fichier dynamique généré par le projet lui même, etc), l'idéal est de restreindre les capacités des fichiers .htaccess, ce que vous allons voir plus loin.
 
Dans tous les cas :
* Évitez absolument d'allowoverride fileinfo (permet de modifier l'handler par défaut d'un fichier)
* Évitez si possible d'allowoverride options (car permet principalement d'activer l'execution CGI)
* Si vous êtes certains que votre projet n'utilise pas de fichiers .htaccess ou que vous pouvez les intégrer à la configuration de la virtualhost :
<pre>
AllowOverride none
</pre>
* Le cas échéant, la configuration minimale suivante est recommandée, étant donné que de nombreux projets utilisent des fichiers .htaccess afin de limiter l'accès a des répertoires :
<pre>
AllowOverride Limit
AllowOverrideList Require
</pre>
* Si jamais le projet en question nécessite les directives d'authentifications, on pourra définir comme cela :
<pre>
AllowOverride Limit AuthConfig
</pre>
* Si vous faites de l'hosting, de nombreux utilisateurs auront besoin des directives AuthConfig, Indexes, mais aussi des règles de redirections et de rewrite :
<pre>
AllowOverride AuthConfig Indexes Limit Options=Indexes
AllowOverrideList Redirect RedirectMatch RedirectTemp RedirectPermanent RewriteEngine RewriteOptions RewriteBase RewriteCond RewriteRule ErrorDocument
</pre>

===Gestion des index et autoindex===
====DirectoryIndex====
DirectoryIndex, c'est ce petit machin qui permet (à condition d'avoir le module <code>dir</code> activé) à apache de recherche automatiquement un fichier d'index (index.html, index.php, ...) pour afficher la page si le client n'en précise pas (quand vous chargez https://www.online.net/ c'est https://www.online.net/index.php qui est affiché). Si vous ne souhaitez pas bénéficier de cette fonctionnalité (par exemple si le client doit de toute façon charge une page précise sans passer par un quelconque index, désactivez le :
<pre>DirectoryIndex disabled</pre>

====autoindex====
<code>mod_autoindex</code> est un petit module qui permet à apache d'afficher l'arborescence fichier. Cela peut être très pratique, mais aussi délétère et peut rendre votre site plus facile à scanner. Si vous n'en avez pas besoin, pensez à le désactiver ou a ne l'activer que dans les dossiers que vous voulez rendre visible totalement au publiques. Notez que la configuration par défaut de apache laisse le module désactivé.
<pre>Options -Indexes</pre>

===AssignUserId===
Si vous avez chargé le module <code>mpm_itk</code>, la directive <code>AssignUserId</code> permet de changer l'utilisateur du processus apache.
Par exemple si dans une vhost vous définissez :
<pre>AssignUserId foo bar</pre>
Les processus apache de cette vhost seront lancés avec l'utilisateur foo et le groupe bar. Si cette vhost créé des fichiers (avec php par exemple), ils seront donc attribué à l'utilisateur foo et le groupe bar. Même principe pour la gestion des droits de lecture et d’exécution.

==Ip-based vs Named-based virtualhosts==

===Ip-based===

Les virtualhosts par IP utilisent l'adresse IP afin de déterminer quelle virtualhost doit répondre à une requête. Par conséquent, il faut disposer d'adresses IP différentes pour chaque virtualhost. Cela est tout à fait réalisable en IPv6 si vous avez accès à un bloc, beaucoup moins en IPv4 depuis la pénurie d’adresses. 
Cela garde néanmoins un intérêt si vous souhaitez par exemple ne rendre accessible une vhost que sur une adresse IP spécifique dans le cadre d'un serveur disposant de plusieurs adresses IPs (cas par exemple d'une virtualhost d'administration qui n'écouterait que sur un port local/vpn).

Notez que par défaut, apache bind sur les ports 80 et 443 sans définir IP (cf <code>/etc/apache2/ports.conf</code>), ce qui signifie que apache servira des requêtes sur toutes les adresses IPs attribuées au serveur, et que chacune de ces adresses IPs pourra servir à définir une virtualhost ip-based et/ou named-based.

Par exemple, si votre serveur possède les adresses IPs 192.168.10.1 et 192.168.20.2 et que vous définissez la virtualhost suivante :
<pre>
<VirtualHost 192.168.20.2:80>
ServerName admin.server.localdomain
DocumentRoot /srv/admin/
</VirtualHost>
</pre>
Cette virtualhost ne sera accessible que si le client se connecte sur le couple IP:Port 192.168.20.2:80. S'il se connecte sur 192.168.10.1:80, il ne pourra jamais atteindre cette virtualhost et ce même s'il spécifie via une en-tête HTTP qu'il souhaite atteindre le serveur admin.server.localdomain. 
Notez qu'on défini la directive <code>ServerName</code> qui est capitale pour les named-based virtualhost, mais qui est également importante ici pour donner un nom au serveur (dans les faits, cette virtualhost est à la fois Ip-based et named-based). Si on ne défini aucune directive ServerName, le serveur utilisera par défaut le FQDN déduit du nom d'hôte du système. Cette configuration sans ServerName explicite peut conduire à des erreurs de choix virtualhost à utiliser et est déconseillée.

===name-based===

Les virtualhosts par nom s'appuient sur les informations transmises par les en-têtes HTTP des requêtes du client (spécifiquement, le Header: Host). Cela permet de définir plusieurs virtualhosts sur la même adresse IP. 
La sélection de la bonne virtualhost en fonction du nom ne se fait que parmi les virtualhosts pour lesquelles la correspondance avec la paire IP/Port est la plus exacte (best-match). La résolution basée sur l'IP n'est pas effectuée si on utilise un caractère générique (*, *:80 ou *:443) pour l'adresse IP dans '''toutes''' les directives VirtualHost du serveur.

Quand une requête arrive, après avoir choisi la VirtualHost présentant la meilleure correspondance IP:Port, si plusieurs VirtualHosts possèdent cette même paire IP:port, apache va comparer les directives ServerName et ServerAlias avec le nom de serveur présent dans la requête.

Notez que (encore une fois), l'ordre dans lequel apache charge les VirtualHost a son importance : si aucune directive ServerName ou ServerAlias ne correspond dans la liste des VirtualHost présentant la meilleure correspondance du couple IP:port, c'est le premier VirtualHost de cette liste qui sera utilisé (serveur par défaut).

===Exemples===
Considérant un serveur ayant attribué les 2 couples ip:ports 192.168.10.1:80 et 192.168.20.2:80 avec la configuration suivante :
* sites-enabled/000-default.conf : VirtualHost *:80 + ServerName localhost
* sites-enabled/admin.domain.tld.conf : VirtualHost 192.168.20.2:80 + ServerName admin.domain.tld
* sites-enabled/other.domain.tld.conf : VirtualHost *:80 + ServerName other.domain.tld
* sites-enabled/www.domain.tld.conf : VirtualHost *:80 + ServerName www.domain.tld

Cette configuration sera chargée par apache dans cet ordre (alphanumérique). 

Si vous vous connectez sur 192.168.10.1:80 :
* Sans spécifier un header Host : le serveur sert le contenu de 000-default.conf
* En spécifiant un header Host 192.168.10.10 : le serveur sert le contenu de 000-default.conf
* En spécifiant un header Host undefined.domain.tld : le serveur sert le contenu de 000-default.conf
* En spécifiant un header Host admin.domain.tld : le serveur sert le contenu de 000-default.conf
* En spécifiant un header Host other.domain.tld : le serveur sert le contenu de other.domain.tld.conf
* En spécifiant un header Host www.domain.tld : le serveur sert le contenu de www.domain.tld.conf

Si vous vous connectez sur 192.168.20.2:80 :
* Sans spécifier un header Host : le serveur sert le contenu de admin.domain.tld.conf
* En spécifiant un header Host (n'importe lequel) : le serveur sert le contenu de admin.domain.tld.conf

==Activer la vhost par défaut==

Cette vhost sera utilisé pour toute requête n'en matchant aucune autre.
<pre>a2ensite 000-default</pre>

Pour la vhost SSL, c'est un peu plus complexe. 
Commencez par ré-générez votre certificat machine :
<pre>
make-ssl-cert generate-default-snakeoil --force-overwrite
</pre>
Puis renommez le fichier de configuration de la vhost par défaut SSL, et ce afin qu'il soit toujours lu en premier :
<pre>
cp /etc/apache2/sites-available/default-ssl.conf /etc/apache2/sites-available/000-default-ssl.conf
</pre>
Puis chargez le :
<pre>a2ensite 000-default-ssl</pre>

Après tout ça, relancez apache :
<pre>/etc/init.d/apache2 restart</pre>

Notez que ces vhosts ne spécifient pas de <code>ServerName</code>, il sera donc déduit du nom d'hôte FQDN de la machine (<code>hostname -f</code>). 
'''Attention, cela implique que vous ne créez aucune autre virtualhost ayant "simplement" le nom d'hôte de la machine comme ServerName''', sinon vous aurez 2 virtualhost avec le même nom d'hôte, et la première chargée en configuration (ordre alphamumérique) sera celle présentée au client (mais pas forcément celle que vous souhaitez).

==Activer server-status / vhost d'admin==

===Création d'une vhost d'administration===

<pre>
<VirtualHost 192.168.10.1:80>
ServerName admin.server.localdomain
ServerAlias admin_alt.server.localdomain
DocumentRoot /path/to/admin/interface/
#AssignUserId www-data www-data # Décommentez uniquement si vous utilisez mpm-itk
ErrorLog ${APACHE_LOG_DIR}/admin.server.localdomain.error.log
CustomLog /var/log/apache2/admin.server.localdomain.access.log vhost_combined
</VirtualHost>
</pre>

Pour sécuriser l'accès, et n'autorisant par exemple que les IPs 192.168.50.0/24 :
<pre>
<Directory /path/to/admin/interface/>
Options +Indexes
IndexOptions FancyIndexing FoldersFirst IgnoreCase NameWidth=* Charset=UTF-8 XHTML
# Allow only VPN and nancy-lan
Require all denied
Require ip 192.168.50.0/24
</Directory>
</pre>

====PhpMyAdmin====

<pre>
# phpmyadmin installed from package
include /etc/phpmyadmin/apache.conf
<Directory /usr/share/phpmyadmin/>
Require all denied
Require ip 192.168.50.0/24
</Directory>
<Directory /usr/share/phpmyadmin/setup>
Require all denied
</Directory>
<Directory /usr/share/phpmyadmin/templates>
Require all denied
</Directory>
<Directory /usr/share/phpmyadmin/libraries>
Require all denied
</Directory>
</pre>

Notez que <code>/etc/phpmyadmin/apache.conf</code> défini les valeurs php <code>open_basedir</code> et <code>upload_tmp_dir</code> pour PhpMyAdmin. Cela ne fonctionnera néanmoins qu'avec mod-php, pas avec php-fpm (pour cela il faudra créer un fichier .user.ini à la racine de phpmyadmin dans <code>/usr/share/phpmyadmin/</code> contenant <code>open_basedir =</code> suivi des mêmes arguments que dans <code>/etc/phpmyadmin/apache.conf</code>

====phpsysinfo====

<pre>
# phpsysinfo from packages
alias /phpsysinfo /usr/share/phpsysinfo/
<Directory /usr/share/phpsysinfo/>
<IfModule php7_module>
php_admin_value open_basedir none
</IfModule>
Require all denied
Require ip 192.168.50.0/24
</Directory>
</pre>

====apache Status====

Activez le module status
<pre>a2enmode status</pre>

Observez le fichier <code>mods-enabled/status.conf</code>. Par défaut il active les options de status sur tous les sites (en dehors d'un virtualhost), mais avec une sécurité suffisante (requière une IP locale pour y accéder). Cette configuration est également nécessaire pour permettre à certains binaires d'accéder au status d'apache (par exemple <code>apache2ctl status</code>.

Afin d'éviter de modifier directement ce fichier de configuration, nous allons réactiver le module status dans votre vhost d'admin :
<pre>
# apache status page at /server-status
# ensure mods-enabled/status.conf does not allow an insecured /server-status
# mods-enabled/status.conf needs to be kept activated for apache local process like apache2ctl status
<Location /main/server-status>
SetHandler server-status
Require all denied
Require local
Require ip 192.168.50.0/24
</Location>
</pre>

Notez que les valeurs <code>ExtendedStatus On</code> ou <code>ProxyStatus On</code> issue de <code>mods-enabled/status.conf</code> sont appliqués automatiquement dans cette vhost également (vous ne pouvez pas les re-préciser dans une vhost).

====server info====

'''Je déconseille d'activer le module info en prod, car il donne beaucoup d'informations sur la configuration du serveur, et en cas de faille (si quelqu'un peut y accéder) cela peut être délétère.'''

Pour information, pour activer le module info :
<pre>a2enmode info</pre>

Le fichier <code>mods-enabled/info.conf/</code> active les options d'information sur tous les sites (en dehors d'un virtualhost), mais avec une sécurité renforcée (requière une IP locale pour y accéder).

====FPM Status====

Si vous utilisez php-fpm :
<pre>
# fpm status page
<Location "/fpm-status">
Require all denied
Require ip 192.168.50.0/24
ProxyPass "unix:/run/php/php7.4-fpm.sock|fcgi://localhost/fpm-status"
</Location>
</pre>

Et dans <code>/etc/php/7.4/fpm/pool.d/<votre pool>.conf</code> (par défaut dans le cas présent ça devrait être le pool <code>www</code> !
<pre>pm.status_path = /fpm-status</pre>

Notez que vous pouvez créer autant de page fpm-status que de pool. Il faudra juste veiller à ce que le chemin (ici <code>/fpm-status</code> soit différent pour chaque pool (il faut donc éditer la configuration de apache et celle du pool).

Pour plus d'information : https://www.php.net/manual/fr/fpm.status.php

=Authentification=

==Authentification Basic==

* C'est le mode d'authentification HTTP le plus fréquement utilisé
* le mot-de-passe est stocké de manière cryptée sur le serveur
* le client envoi le mot-de-passe en clair au serveur (en base64 en fait, mais c'est du pareil au même), ce qui rend ce mode non sécurisé si la connexion n'est pas effectuée en HTTPS
* Préférez la création d'un fichier nommé <code>.htpasswd</code> étant donné que ces fichiers sont interdits de lecture par la configuration par défaut de apache (/etc/apache2/apache2.conf). Dans la mesure du possible, ne créez des fichiers <code>.htpasswd</code> que dans un dossier de toute façon inaccessible au serveur web (donc en dehors du documentroot et de tout alias). En effet, les directives d'autorisations de apache d'une section supérieure annulent les directives d'autorisations précédentes de apache (<code>AuthMerging</code> à off par défaut), donc si vous autorisez l'accès complet à un repertoire (require all granted), vous risquez de supplanter la directive interdisant l'accès aux fichiers protégés
 

Création du fichier contenant les mots-de-passe :
<pre>htpasswd -c .htpasswd pfoo
New password:
Re-type new password:
Adding password for user pfoo
</pre>

Pour ajouter un nouvel utilisateur, ou modifier le mot-de-passe d'un utilisateur existant, la commande est la même sans l'argument <code>-c</code>
<pre>htpasswd .htpasswd pfoo</pre>

Le fichier <code>.htgroup</code> permet de rassembler plusieurs utilisateurs dans un même groupe. Il suffit de créer un fichier (.htgroup) texte contenant par exemple (pour créer un groupe admin et un groupe user) :
<pre>admin: pfoo plop
user: blah</pre>

Pour que tous les utilisateurs valides (qui sont présent dans le .htpasswd) aient accès au dossier :
<pre>
AuthUserFile /path/to/.htpasswd
AuthName "Accès Restreint"
AuthType Basic
require valid-user
</pre>

Accès pour l'utilisateur pfoo et l'ensemble du groupe user uniquement :
<pre>
AuthUserFile /path/to/.htpasswd
AuthGroupFile /path/to/.htgroup
AuthName "Accès Restreint"
AuthType Basic
require user pfoo
require group user
</pre>

==Authentification Digest==
* le mot-de-passe est stocké en clair sur le serveur ce qui le rend plus vulnérable à une fuite de données côté serveur (en clair ou sous forme condensée, sans salage possible, donc un pirate obtenant l'accès au fichier contenant la base de donnée digest aura un accès complet aux ressources du serveur et sans étape de décryptage)
* le client envoi le mot-de-passe hashé avec un nonce et un realm, ce qui assure que le mot-de-passe ne circule jamais en clair sur le réseau et ce même sans HTTPS
* Préférez la création d'un fichier nommé .htpasswd étant donné que ces fichiers sont interdits de lecture par la configuration par défaut de apache (/etc/apache2/apache2.conf)
 

L'outil htdigest permet de créer un fichier .htpasswd utilisant cette méthode d'authentification. Vous pouvez entrer ce que vous voulez en realm.
<pre>htdigest -c .htpasswd "votre realm" username</pre>

Pour ajouter un nouvel utilisateur, ou modifier le mot-de-passe d'un utilisateur existant, la commande est la même sans l'argument <code>-c</code> :
<pre>htdigest .htpasswd "votre realm" pfoo</pre>

Le fichier <code>.htgroup</code> permet de rassembler plusieurs utilisateurs dans un même groupe. Il suffit de créer un fichier (.htgroup) texte contenant par exemple (pour créer un groupe admin et un groupe user) :
<pre>admin: pfoo plop
user: blah</pre>

Pour que tous les utilisateurs valides (qui sont présent dans le .htpasswd) aient accès au dossier :
<pre>
AuthType Digest
AuthName "votre realm"
AuthDigestDomain /
AuthDigestProvider file
AuthUserFile /path/to/.htpasswd
AuthGroupFile /path/to/.htgroup
Require valid-user
</pre>

Accès pour l'utilisateur pfoo et l'ensemble du groupe user uniquement :
<pre>
AuthType Digest
AuthName "votre realm"
AuthDigestDomain /
AuthDigestProvider file
AuthUserFile /path/to/.htpasswd
AuthGroupFile /path/to/.htgroup
require user pfoo
require group user
</pre>

=HTTPS=

==Redirection HTTP vers HTTPs==

* Solution avec le module Rewrite, applicable à la fois dans une vhost écoutant sur les port 80 ou 443 :
<pre>
RewriteEngine on
RewriteCond %{HTTPS} off
RewriteRule ^/?(.*) https://%{SERVER_NAME}/$1 [R=301,L]
</pre>

Il peut être intéressant de ne pas rewrite certaine URLs. Dans l'exemple ci dessous, les urls en lien avec les challenges letsencrypt :
<pre>
RewriteCond %{REQUEST_URI} !^/.well-known/acme-challenge/.*
</pre>

* Solution avec le module Alias, à ne surtout pas appliquer dans une vhost écoutant sur le port 443 (redirection infinie) :
<pre>
Redirect permanent / https://domain.tld/
</pre>

=Tests de sécurité divers=
https://observatory.mozilla.org/ 
https://tls.imirhil.fr/ 
https://www.ssllabs.com/ssltest/

Installation de configuration du serveur web Apache 2.4 sous Debian Bullseye

2026-04-18T15:06:00Z

Pfoo : /* http2 */

[[Category:serveur]]
[[Category:debian]]

=Les différents mpm=

Les différents mpm de apache sont fournis sous forme de modules et ce dès l'installation du paquet <code>apache2</code>. La seule exception reste le mpm ITK qui nécessite l'installation du paquet <code>libapache2-mpm-itk</code>.

=Installation=
<pre>apt install apache2</pre>

=Considérations de sécurité=

* Même si les directives sont lues dans l'ordre dans lequel vous les inscrivez, certaines restent appliqués avant les autres (cf https://httpd.apache.org/docs/2.4/sections.html#merging). L'ordre d'application de apache est <Directory> -> htaccess -> <DirectoryMatch> -> <files> et <filesmatch> -> <Location> et <LocationMatch>. La dernière directive appliquée prendra le dessus sur les autres.
* Encore une fois, prenez garder à la manière dont les directives se chaînent. Cela peut conduire à de graves défaut de sécurité étant donné que la directive [http://httpd.apache.org/docs/2.4/fr/mod/mod_authz_core.html#authmerging authmerging] est par défaut à off dans apache. En gros, si vous interdisez l'accès au répertoire "config" avec une directive <Directory> puis que vous autorisez l'accès au répertoire parent à l'aide d'une directive <Location>, le répertoire config deviendra accessible en lecture et ce pour deux raisons : l'ordre d'application des directives (Location appliqué après Directory) et le fait que les autorisations d'accès s'annulent les unes les autres (authmerging à off).
* '''De manière globale, préférez la directive <Directory> (et ses dérivés comme <files> <DirectoryMatch> ou <FilesMatch>) a la directive <Location> (et ses dérivés comme <LocationMatch>) quand vous sécurisez des chemins du système de fichier de votre machine.''' N'utilisez <Location> que si vous définissez les règles d'accès à une ressource qui ne se situe pas sur le système de fichier (page générée par une base de donnée par exemple)
* La configuration de apache sous debian est modulaire, pensez cependant à lire l'ensemble de cette configuration, vous pourriez y trouver des surprises (y compris /etc/apache2/apache2.conf !). N'oubliez pas non plus l'ordre de lecture qui peut changer la manière dont les règles s'appliquent : <code>/etc/apache2/apache2.conf</code>, puis <code>conf-enabled/*.conf</code> (ordre alphanumérique), puis <code>sites-enabled/*.conf</code> (ordre alphanumérique).
* Faites attention aux directives Include fournies par certains paquets. Après installation, ils sont parfois automatiquement chargés, parfois il faudra passer par <code>a2enconf</code>. Lisez toujours tout fichier que vous incluez à la configuration de apache ou d'une vhost !
* De même, faites attentions à certains paquets qui ont tendance à ajouter par défaut un fichier de configuration et à l'activer dans <code>conf-enabled/</code>. C'est par exemple le cas de phpmyadmin qui se retrouve activé par défaut via <code>conf-enabled/</code> et qui est donc accessible globalement y compris si vous avez défini des virtualhosts avec des règles de sécurité pour phpmyadmin (qui seront donc caduques).
* Par défaut, debian autorise l'accès à <code>/usr/share</code>. Il peut être bon de désactiver globalement ce comportement en créant un fichier de configuration dans conf-enabled, quitte à réactiver l'accès au cas par cas.

== Exemple d'erreur a ne pas faire ==

* Dans cet exemple, on autorise l'accès a /srv/http/, puis on interdit l'accès a /srv/http/admin, puis on réautorise l'accès a l'ensemble de l'arborescence avec la dernière directive Location. Résultat : votre interface d'admin est accessible de l'extérieur.
<pre>
DocumentRoot /srv/http/
<Directory /srv/http/>
require all granted
</Directory>
<Directory /srv/http/admin>
require all denied
</Directory>
<Location />
require all granted
</Location>
</pre>

* Dans cet exemple, l'utilisation de la directive location rendra accessible le fichier /srv/http/.htaccess malgré l'utilisation d'un FilesMatch antérieur.
<pre>
<FilesMatch ".htaccess">
Require all denied
</FilesMatch>
DocumentRoot /srv/http/
<Location />
require all granted
</Location>
</pre>

=Configuration=

==Configuration par défaut de apache==

* <code>/etc/apache2/apache2.conf</code>
Le fichier de configuration par défaut de apache. Il défini quelques variables dont vous ne devriez, dans la majorité des cas, pas avoir à vous soucier. Plus important, c'est grâce a lui que les autres fichiers de configuration sont chargés. 
A noter cependant, ce fichier défini par défaut la variable <code>AllowOverride None</code> pour la totalité de votre arborescence linux (ce qui empêche un éventuel fichier <code>htaccess</code> quelque part dans votre arborescence de modifier la configuration de sécurité d'un dossier) et interdit l'accès à toute votre arborescence à l'exception de <code>/usr/share</code> 
Evitez de faire des modifications dans ce fichier, nous le feront plus loin dans les fichiers de configuration indépendants.

* <code>/etc/apache2/ports.conf</code>
Ce fichier se charge de définir les ports sur lesquels apache écoutera. Si vous souhaitez utiliser apache sur d'autres ports sur 80 et 443, il faudra jouter des lignes <code>Listen</code> pour chaque port.

* <code>/etc/apache2/mods-enabled/*.conf</code> : fichiers chargés dans l'ordre numérique puis alphabétique
Charge les différents modules installés ainsi que leur configuration. Dans la majorité des cas, la configuration par défaut des modules est tout à fait convenable d'un point de vue sécurité. 
Gardez cependant en mémoire les fichiers <code>mpm_event.conf</code> et <code>mpm_prefork.conf</code> qui peuvent vous permettre de d'optimiser les performances de apache.
A noter le fichier <code>status.conf</code> qui restreint l'utilisation de module status a l'ip locale du serveur.

* <code>/etc/apache2/conf-enabled/*.conf</code> : fichiers chargés dans l'ordre numérique puis alphabétique
** <code>security.conf</code> : passez principalement la variable <code>ServerTokens prod</code>
** <code>javascript-common.conf</code> : fichier à surveiller étant donné qu'il créé un alias global /javascript, cependant, l'accès ne sera pas autorisé par défaut (voir plus loin)
** <code>serve-cgi-bin.conf</code> : un trou de sécurité à part entière qui active les scripts cgi installés dans toutes les vhosts ... je vous conseille rapidement de désactiver ce script tout simplement et d'activer les scripts cgi a la demande dans les vhosts le necessitant. Attention cependant, désactiver ce script rendra potentiellement inutilisable les configurations par défaut fournis avec certains paquets (smokeping par exemple). Pour le désactiver, rien de plus simple : <pre>a2disconf serve-cgi-bin.conf</pre>

==Configuration de sécurité en sus==

Nous allons créer un fichier afin d'interdire l'accès à certains dossiers qu'apache autorise en général par défaut. Notez qu'activer ces options empêchera la configuration par défaut de nombreux paquets debian de fonctionner. 
Créez le fichier <code>/etc/apache2/conf-available/zzz-local-security.conf</code> (le faire commencer par zzz devrait vous assurer qu'il soit lu en dernier) contenant :
<pre>
# Disable access to / by default
<Directory />
Options -Includes -IncludesNOEXEC -ExecCGI -Indexes -FollowSymLinks -SymLinksIfOwnerMatch -MultiViews
AllowOverride None
Require all denied
</Directory>

# Disable access to /usr/share by default
<Directory /usr/share/>
Options -Includes -IncludesNOEXEC -ExecCGI -Indexes -FollowSymLinks -SymLinksIfOwnerMatch -MultiViews
AllowOverride None
Require all denied
</Directory>

# Disable access to /usr/lib/cgi-bin/ by default (will override conf-enabled/serve-cgi-bin.conf if enabled)
<Directory /usr/lib/cgi-bin/>
Options -Includes -IncludesNOEXEC -ExecCGI -Indexes -FollowSymLinks -SymLinksIfOwnerMatch -MultiViews
AllowOverride None
Require all denied
</Directory>

# Disable access to svn tree
<DirectoryMatch "/\.svn">
Require all denied
</DirectoryMatch>

# Disable access to git tree
<DirectoryMatch "/\.git">
Require all denied
</DirectoryMatch>

# Disable access to .htaccess and .htpasswd files
<FilesMatch "^\.ht">
Require all denied
</FilesMatch>

# Disable access to htpasswd and htdigest files as some users don't make them hidden
<Files htpasswd>
Require all denied
</Files>
<Files htdigest>
Require all denied
</Files>

# Disable access to .user.ini (used by php for local config)
<Files .user.ini>
Require all denied
</Files>

# Deny access to most php project configuration files (localsettings.php, config.php but also things like config.anything.php
<FilesMatch "(?i)^(config-db|wp-config|commonsettings|localsettings|config)(\.([a-z]|[0-9])+)*\.ph(ar|p|tml)$">
Require all denied
</FilesMatch>

# Enforce a restricted open_basedir if php7 module is loaded
<IfModule php7_module>
php_admin_value open_basedir /var/www/
</IfModule>

# Enforce mpm-itk security if mpm itk is loaded
<IfModule mpm_itk_module>
# first uid need to be 33 for www-data (default uid/gid, can be tuned)
LimitUIDRange 33 2000
LimitGIDRange 33 2000
# Drop most root capabilities in the parent process.
# Instead run as the user given by the User/Group directives with some extra capabilities
# Somewhat more secure.
EnableCapabilities on
</IfModule>
</pre>

Vous pouvez noter que les sections concernant <code>/usr/lib/cgi-bin/</code> et <code>/usr/share/</code> sont superflues étant données que la section concernant <code>/</code> couvre déjà ces répertoires. Il est néanmoins pratique d'avoir prédéfini des règles pour ces deux dossiers car ce sont ceux pour lesquels vous risquez le plus d'avoir à assouplir les règles de sécurité à l'échelle du serveur entier.

Activez le fichier de configuration avec <code>a2enconf</code> :
<pre>a2enconf zzz-local-security.conf
/etc/init.d/apache2 reload</pre>

==Imbrications des directives==

Pour la directive <code>Location</code>, le mappage se fait du moins spécifique au plus spécifique :
<pre>
<Location "/foo">
</Location>
<Location "/foo/bar">
</Location>
</pre>

Pour les <code>Alias</code> et les proxy (<code>ProxyPass</code>), le mappage se fait dans le sens inverse, du plus spécifique au moins spécifique :
<pre>
Alias "/foo/bar" "/srv/www/uncommon/bar"
Alias "/foo" "/srv/www/common/foo"
</pre>

<pre>
ProxyPass "/special-area" "http://special.example.com"
ProxyPass "/" "http://www.example.com"
</pre>

==Vérifier la configuration de apache==

<pre>apache2ctl configtest</pre>

=php via mod-php=

<pre>
apt install libapache2-mod-php
a2enmod php7*
</pre>

Seul les mpm prefork et itk sont compatibles avec ce module php. C'est le plus simple à configurer, mais les performances sont limitées.

==Sécurité recommandée==

* open_basedir avec une règle par défaut définie dans [[#Configuration_de_sécurité_en_sus|/etc/apache2/mods-enabled/zzz_localsecurity.conf]]
** Vous pouvez ensuite appliquer pour chaque vhost une règle spécifique avec <code>php_admin_value open_basedir /var/www/path1/:/var/www/path2/</code>
* le mpm itk afin de pouvoir lancer les scripts php avec les permissions utilisateurs
** Notez que me mpm-itk impose d'activer le module mpm-prefork (et ne permet pas d'utiliser mpm-worker ou mpm-event)

=php via php-fpm=

Ce mode de fonctionnement est plus complexe, mais augmente les performances et permet d'utiliser les mpm worker et event (eux même plus performants que prefork et itk). 
Le principe est d'avoir un daemon php-fpm exécutant les scripts php. Apache s'y connecte en fcgi au moyen d'un socket. 
Chaque daemon php-fpm existe au sein d'un pool qui a son propre socket. Pour des raisons de sécurité, il est conseillé d'utiliser un pool (donc un socket) différent pour chaque site. En effet, si un script malveillant est exécuté au sein d'un pool, il a le potentiel de contaminer l'ensemble du pool et donc l'ensemble des sites utilisant le pool. Il est également possible d'attribuer un utilisateur/groupe spécifique à chaque pool ce qui compense l'impossibilité d'utiliser mpm-itk.

Pour installer et activer php-fpm :
<pre>
apt install php-fpm
a2enmod proxy_fcgi setenvif
a2enconf php7.4-fpm
/etc/init.d/apache2 restart
</pre>

NB : sous buster il faut également installer <code>libapache2-mod-fastcgi</code>

Si vous aviez installé le module php classique, désactivez le (il est utilisé par défaut) et passez également sur le mpm worker :
<pre>
a2dismod php7.4
a2dismod mpm_prefork mpm_itk
a2enmod mpm_worker
apt remove libapache2-mod-php7.4 libapache2-mod-php
/etc/init.d/apache2 restart
</pre>

Quand vous faites des modifications, il faudra selon le cas relancer apache2, fpm, ou les deux :
<pre>
/etc/init.d/apache2 restart
/etc/init.d/php7.4-fpm restart
</pre>

==Passer des options de configuration à php-fpm==

Il existe 5 manières de passer des options/arguments à php avec FPM.

===php.ini===

La première méthode consiste à modifier directement le fichier de configuration principal de php/fpm : <code>/etc/php/7.4/fpm/php.ini</code>. 
Les options appliquées le seront à l'ensemble des scripts lancé par php/fpm et ce quelque soit le pool utilisé. '''Cela n'est donc viable que pour une configuration "par défaut" valable pour l'ensemble de votre serveur et quelque soit le site (ou que vous modifierez par d'autre méthode décrites plus bas).'''

===php-fpm.conf===

'''Cette méthode n'est pas recommandée''' 
Elle consiste à éditer directement le fichier <code>/etc/php/7.4/fpm/php-fpm.conf</code> afin d'y ajouter les <code>php_flag</code>, <code>php_value</code> ou <code>php_admin_value</code> souhaitées. Ces valeurs s'appliqueront à l'ensemble des pools.

Exemples :
<pre>
php_flag[display_errors] = off
php_admin_value[open_basedir] = /srv/admin/
php_value[date.timezone] = Europe/Paris
</pre>

===Via la configuration de apache ou .htaccess===

'''Cette méthode n'est pas recommandée''' 
Le principe est d'utiliser des variables d'environnement avec <code>SetEnv</code> pour définir des valeurs de configuration.

Par exemple :
<pre>
# attention à bien respecter l'absence d'absence avant et après le signe =
SetEnv PHP_ADMIN_VALUE "open_basedir=/srv/admin/"
SetEnv PHP_VALUE "date.timezone=Europe/Paris"
</pre>

Ce mode de fonctionnement est risqué et imprévisible, car les variables d'environnement restent actives longtemps au sein d'un même pool. Or, vous pourriez être amené, au sein d'un même site, de modifier différemment la configuration php selon le contexte.

Par exemple : host1 et host2 ; host1 a pas de valeur date.timezone, host2 a une valeur date.timezone définie par SetEnv
* On visite host1 : date.timezone = default from php.ini (logique)
* On visite host2 : date.timezone = appliqué via SetEnv (logique)
* On re-visite host1 : date.timezone = appliqué via SetEnv ! (comportement non voulu)
Dans le cas présent, une "ancienne" valeur de date.timezone est utilisée alors qu'elle ne devrait pas l'être, parce que vous avez chargé le site host1 avec le même thread du même pool que host2. Si par chance vous changez de thread (sur un thread qui n'a pas encore chargé host1) vous aurez la valeur par défaut a nouveau.

===pool.d/www.conf===

'''C'est la méthode préférée pour définir une valeur appliquée à un site spécifique sans modifier le fichier php.ini.''' 
Le principe est de créer, pour chaque site, un fichier de configuration dans <code>/etc/php/7.4/fpm/pool.d/</code> définissant un socket séparé. 
Cette méthode permet également de faire tourner les scripts php sous un autre utilisateur/groupe.

Par défaut, après avoir activé php-fpm, apache est configuré par <code>/etc/apache2/conf-enabled/php7.4-fpm.conf</code> pour utiliser le socket <code>/run/php/php7.4-fpm.sock</code> lui même défini par <code>/etc/php/7.4/fpm/pool.d/www.conf</code> 

Par exemple, copiez <code>/etc/php/7.4/fpm/pool.d/www.conf</code> en tant que <code>/etc/php/7.4/fpm/pool.d/test.conf</code> en modifiant :
<pre>
; on remplace [www] par [test] (c'est le nom du pool)
[test]
user = foo
group = bar
listen = /run/php/php7.4-fpm-test.sock
php_value[date.timezone] = Europe/Paris
</pre>
Après avoir redémarré php-fpm (/etc/init.d/php7.4-fpm restart), vous aurez un socket spécifique dans <code>/run/php/php7.4-fpm-test.sock</code> permettant d'accéder à ce pool, qui lui même executera les scripts sous l'utilisateur <code>foo</code> et le groupe <code>bar</code> et en définissant la valeur date.timezone = Europe/Paris

Ensuite, modifiez la configuration de la VirtualHost dont vous souhaitez adapter les valeurs php ou l'utilisateur en y ajoutant :
<pre>
<FilesMatch ".+\.ph(ar|p|tml)$">
SetHandler "proxy:unix:/run/php/php7.4-fpm-test.sock|fcgi://localhost"
</FilesMatch>
</pre>

Notez que cette méthode définie à la fois les valeurs Local et Master de php, et s'harmonise bien avec la méthode suivante (qui ne modifie que les valeurs Local).

===fichier .user.ini===

Cette dernière méthode permet de définir uniquement les valeurs Local de php, a l'inverse de la précédente qui définie les valeurs Local et Master. 
Elle consiste à créer, dans le path de votre documentroot, un fichier <code>.user.ini</code> dans lequel vous pouvez adapter les valeurs de php. Vous pouvez utiliser plusieurs de ces fichiers dans plusieurs répertoires de votre documentroot, en gardant à l'esprit qu'une valeur définie dans le répertoire parent est appliqué dans le répertoire enfant (mais peut être redéfinie autrement). N'oubliez pas que ce fichier doit pouvoir être lu par l'utilisateur de php-fpm (par défaut www-data).

Par exemple :
* dans <code>/srv/admin/.user.ini</code> : <code>date.timezone = Europe/London</code>
* dans <code>/srv/admin/main/.user.ini</code> : <code>date.timezone = Europe/Paris</code>

Les fichiers php exécuté dans /srv/admin/ auront la timezone définie à Europe/London et ceux dans /srv/admin/main/ auront la timezone Europe/Paris.

Si la même valeur est définie dans le pool.d et dans un .user.ini, c'est celle de .user.ini qui sera appliquée. Attention quand même à quelques spécificités, par exemple, la valeur de open_basedir locale ne peut-être définie que dans des sous-dossiers de la valeur globale de pool.d.

Vous pouvez désactiver cette fonctionnalité (par sécurité et si vous n'en avez pas besoin) en vidant la variable suivante dans <code>/etc/php/7.4/php.ini</code> :
<pre>user_ini.filename =</pre>

==Attribuer un pool a une vhost==

<pre>
# PHP-FPM admin sock
<FilesMatch ".+\.ph(ar|p|tml)$">
SetHandler "proxy:unix:/run/php/php7.4-fpm-poolname.sock|fcgi://localhost"
</FilesMatch>
</pre>

=Note on PHP=

* php_value : peut-être utilisée dans la configuration apache, dans un virtualhost, dans un .htaccess. Ne peut que modifier les paramètres <code>PHP_INI_ALL</code> et <code>PHP_INI_PERDIR</code> défini sur https://www.php.net/manual/en/ini.list.php
* php_admin_value : peut-être utilisée uniquement dans la configuration apache et virtualhost, pas en .htaccess. Peut modifier tous les paramètres php.

=http2=

Ne fonctionnera qu'avec mpm_event (ou éventuellement mpm_worker) ce qui implique soit de ne pas utiliser php (ni mpm_itk), soit de passer par fcgi / php-fpm :
<pre>
a2dismod mpm_prefork
a2enmod mpm_event
a2enmod http2
</pre>

=la gestion des virtualhosts=

L'architecture de configuration modulaire de apache sous debian propose de créer les fichiers de configuration des vhosts dans <code>/etc/apache2/sites-available/</code> puis de les activer avec <code>a2ensite</code> afin qu'ils soient lus via le dossier <code>/etc/apache2/sites-enabled</code> 
Je vous conseille cependant de créer, en plus, un dossier <code>/etc/apache2/sites-config</code> afin de créer des fichiers de configuration pouvant être utilisé dans plusieurs vhosts (par exemple, le même site, l'un en https, l'autre non) :
<pre>mkdir /etc/apache2/sites-config</pre>

==Configuration recommandée dans toute virtualhost==

===open_basedir===
open_basedir permet de limiter le champ d'action des fichiers php en terme de dossiers. Etant donné que nous avons défini un open_basedir restrictif un peu plus haut, si vous utilisez php, il est obligatoire de rédéfinir open_basedir pour correspondre aux dossiers auxquelles vos fichiers php doivent pouvoir accéder. En général, c'est tout simplement le même dossier que votre DocumentRoot
<pre>
php_admin_value open_basedir /votre/documentroot/
</pre>

Vous pouvez spécificer plusieurs path séparés par des <code>:</code> 
Notez qu'il est important de faire terminer le path par un <code>/</code> (le path <code>/votre/documentroot</code> est considéré comme <code>/votre/documentroot*</code>

===AllowOverride et .htaccess===

AllowOverride permet de définir les règles autorisées à être modifiées par un fichier <code>.htaccess</code> 
Notez que cette directive doit obligatoirement être définie dans un champ <Directory> 
La configuration apache que nous avons vu plus tôt désactive complètement les fichiers <code>.htaccess</code> dans la totalité du système de fichier. Le problème de ce comportement est que les fichiers htaccess seront tout simplement ignoré, or, de nombreux projets utilisent les fichiers htaccess pour protéger de la lecture certains répertoires sensibles (fichiers de configurations, etc). 
Plusieurs options s'offrent à vous :
* '''Si vous êtes certain que votre projet n'utilise pas de fichiers .htaccess, la question ne se pose même pas, gardez les fichiers htaccess désactivés''' ! Même s'ils sont pratiques, ils restent des fichiers relativement faciles à modifier (un peu de code foireux dans un module externe d'un CMS par exemple) et offrent donc une sécurité bien moindre que les directives définies directement dans la configuration de votre virtualhost apache ! Ils ont également un impact sur les performances de apache (nécessité pour apache de remonter l'arborescence à la recherche d'un .htaccess à chaque requête). 
* Si votre projet utilise des fichiers .htaccess, il est possible d'intégrer leur contenu à la configuration de votre virtualhost. Vous y gagniez ainsi en sécurité et en performances tout en limitant un vecteur d'attaque.
* Si votre projet utilise des fichiers .htaccess mais qu'ils ne peuvent pas être intégrés à la configuration de votre virtualhost (fichiers générés par un client dans le cadre d'une activité de hosting, fichier dynamique généré par le projet lui même, etc), l'idéal est de restreindre les capacités des fichiers .htaccess, ce que vous allons voir plus loin.
 
Dans tous les cas :
* Évitez absolument d'allowoverride fileinfo (permet de modifier l'handler par défaut d'un fichier)
* Évitez si possible d'allowoverride options (car permet principalement d'activer l'execution CGI)
* Si vous êtes certains que votre projet n'utilise pas de fichiers .htaccess ou que vous pouvez les intégrer à la configuration de la virtualhost :
<pre>
AllowOverride none
</pre>
* Le cas échéant, la configuration minimale suivante est recommandée, étant donné que de nombreux projets utilisent des fichiers .htaccess afin de limiter l'accès a des répertoires :
<pre>
AllowOverride Limit
AllowOverrideList Require
</pre>
* Si jamais le projet en question nécessite les directives d'authentifications, on pourra définir comme cela :
<pre>
AllowOverride Limit AuthConfig
</pre>
* Si vous faites de l'hosting, de nombreux utilisateurs auront besoin des directives AuthConfig, Indexes, mais aussi des règles de redirections et de rewrite :
<pre>
AllowOverride AuthConfig Indexes Limit Options=Indexes
AllowOverrideList Redirect RedirectMatch RedirectTemp RedirectPermanent RewriteEngine RewriteOptions RewriteBase RewriteCond RewriteRule ErrorDocument
</pre>

===Gestion des index et autoindex===
====DirectoryIndex====
DirectoryIndex, c'est ce petit machin qui permet (à condition d'avoir le module <code>dir</code> activé) à apache de recherche automatiquement un fichier d'index (index.html, index.php, ...) pour afficher la page si le client n'en précise pas (quand vous chargez https://www.online.net/ c'est https://www.online.net/index.php qui est affiché). Si vous ne souhaitez pas bénéficier de cette fonctionnalité (par exemple si le client doit de toute façon charge une page précise sans passer par un quelconque index, désactivez le :
<pre>DirectoryIndex disabled</pre>

====autoindex====
<code>mod_autoindex</code> est un petit module qui permet à apache d'afficher l'arborescence fichier. Cela peut être très pratique, mais aussi délétère et peut rendre votre site plus facile à scanner. Si vous n'en avez pas besoin, pensez à le désactiver ou a ne l'activer que dans les dossiers que vous voulez rendre visible totalement au publiques. Notez que la configuration par défaut de apache laisse le module désactivé.
<pre>Options -Indexes</pre>

===AssignUserId===
Si vous avez chargé le module <code>mpm_itk</code>, la directive <code>AssignUserId</code> permet de changer l'utilisateur du processus apache.
Par exemple si dans une vhost vous définissez :
<pre>AssignUserId foo bar</pre>
Les processus apache de cette vhost seront lancés avec l'utilisateur foo et le groupe bar. Si cette vhost créé des fichiers (avec php par exemple), ils seront donc attribué à l'utilisateur foo et le groupe bar. Même principe pour la gestion des droits de lecture et d’exécution.

==Ip-based vs Named-based virtualhosts==

===Ip-based===

Les virtualhosts par IP utilisent l'adresse IP afin de déterminer quelle virtualhost doit répondre à une requête. Par conséquent, il faut disposer d'adresses IP différentes pour chaque virtualhost. Cela est tout à fait réalisable en IPv6 si vous avez accès à un bloc, beaucoup moins en IPv4 depuis la pénurie d’adresses. 
Cela garde néanmoins un intérêt si vous souhaitez par exemple ne rendre accessible une vhost que sur une adresse IP spécifique dans le cadre d'un serveur disposant de plusieurs adresses IPs (cas par exemple d'une virtualhost d'administration qui n'écouterait que sur un port local/vpn).

Notez que par défaut, apache bind sur les ports 80 et 443 sans définir IP (cf <code>/etc/apache2/ports.conf</code>), ce qui signifie que apache servira des requêtes sur toutes les adresses IPs attribuées au serveur, et que chacune de ces adresses IPs pourra servir à définir une virtualhost ip-based et/ou named-based.

Par exemple, si votre serveur possède les adresses IPs 192.168.10.1 et 192.168.20.2 et que vous définissez la virtualhost suivante :
<pre>
<VirtualHost 192.168.20.2:80>
ServerName admin.server.localdomain
DocumentRoot /srv/admin/
</VirtualHost>
</pre>
Cette virtualhost ne sera accessible que si le client se connecte sur le couple IP:Port 192.168.20.2:80. S'il se connecte sur 192.168.10.1:80, il ne pourra jamais atteindre cette virtualhost et ce même s'il spécifie via une en-tête HTTP qu'il souhaite atteindre le serveur admin.server.localdomain. 
Notez qu'on défini la directive <code>ServerName</code> qui est capitale pour les named-based virtualhost, mais qui est également importante ici pour donner un nom au serveur (dans les faits, cette virtualhost est à la fois Ip-based et named-based). Si on ne défini aucune directive ServerName, le serveur utilisera par défaut le FQDN déduit du nom d'hôte du système. Cette configuration sans ServerName explicite peut conduire à des erreurs de choix virtualhost à utiliser et est déconseillée.

===name-based===

Les virtualhosts par nom s'appuient sur les informations transmises par les en-têtes HTTP des requêtes du client (spécifiquement, le Header: Host). Cela permet de définir plusieurs virtualhosts sur la même adresse IP. 
La sélection de la bonne virtualhost en fonction du nom ne se fait que parmi les virtualhosts pour lesquelles la correspondance avec la paire IP/Port est la plus exacte (best-match). La résolution basée sur l'IP n'est pas effectuée si on utilise un caractère générique (*, *:80 ou *:443) pour l'adresse IP dans '''toutes''' les directives VirtualHost du serveur.

Quand une requête arrive, après avoir choisi la VirtualHost présentant la meilleure correspondance IP:Port, si plusieurs VirtualHosts possèdent cette même paire IP:port, apache va comparer les directives ServerName et ServerAlias avec le nom de serveur présent dans la requête.

Notez que (encore une fois), l'ordre dans lequel apache charge les VirtualHost a son importance : si aucune directive ServerName ou ServerAlias ne correspond dans la liste des VirtualHost présentant la meilleure correspondance du couple IP:port, c'est le premier VirtualHost de cette liste qui sera utilisé (serveur par défaut).

===Exemples===
Considérant un serveur ayant attribué les 2 couples ip:ports 192.168.10.1:80 et 192.168.20.2:80 avec la configuration suivante :
* sites-enabled/000-default.conf : VirtualHost *:80 + ServerName localhost
* sites-enabled/admin.domain.tld.conf : VirtualHost 192.168.20.2:80 + ServerName admin.domain.tld
* sites-enabled/other.domain.tld.conf : VirtualHost *:80 + ServerName other.domain.tld
* sites-enabled/www.domain.tld.conf : VirtualHost *:80 + ServerName www.domain.tld

Cette configuration sera chargée par apache dans cet ordre (alphanumérique). 

Si vous vous connectez sur 192.168.10.1:80 :
* Sans spécifier un header Host : le serveur sert le contenu de 000-default.conf
* En spécifiant un header Host 192.168.10.10 : le serveur sert le contenu de 000-default.conf
* En spécifiant un header Host undefined.domain.tld : le serveur sert le contenu de 000-default.conf
* En spécifiant un header Host admin.domain.tld : le serveur sert le contenu de 000-default.conf
* En spécifiant un header Host other.domain.tld : le serveur sert le contenu de other.domain.tld.conf
* En spécifiant un header Host www.domain.tld : le serveur sert le contenu de www.domain.tld.conf

Si vous vous connectez sur 192.168.20.2:80 :
* Sans spécifier un header Host : le serveur sert le contenu de admin.domain.tld.conf
* En spécifiant un header Host (n'importe lequel) : le serveur sert le contenu de admin.domain.tld.conf

==Activer la vhost par défaut==

Cette vhost sera utilisé pour toute requête n'en matchant aucune autre.
<pre>a2ensite 000-default</pre>

Pour la vhost SSL, c'est un peu plus complexe. 
Commencez par ré-générez votre certificat machine :
<pre>
make-ssl-cert generate-default-snakeoil --force-overwrite
</pre>
Puis renommez le fichier de configuration de la vhost par défaut SSL, et ce afin qu'il soit toujours lu en premier :
<pre>
cp /etc/apache2/sites-available/default-ssl.conf /etc/apache2/sites-available/000-default-ssl.conf
</pre>
Puis chargez le :
<pre>a2ensite 000-default-ssl</pre>

Après tout ça, relancez apache :
<pre>/etc/init.d/apache2 restart</pre>

Notez que ces vhosts ne spécifient pas de <code>ServerName</code>, il sera donc déduit du nom d'hôte FQDN de la machine (<code>hostname -f</code>). 
'''Attention, cela implique que vous ne créez aucune autre virtualhost ayant "simplement" le nom d'hôte de la machine comme ServerName''', sinon vous aurez 2 virtualhost avec le même nom d'hôte, et la première chargée en configuration (ordre alphamumérique) sera celle présentée au client (mais pas forcément celle que vous souhaitez).

==Activer server-status / vhost d'admin==

===Création d'une vhost d'administration===

<pre>
<VirtualHost 192.168.10.1:80>
ServerName admin.server.localdomain
ServerAlias admin_alt.server.localdomain
DocumentRoot /path/to/admin/interface/
#AssignUserId www-data www-data # Décommentez uniquement si vous utilisez mpm-itk
ErrorLog ${APACHE_LOG_DIR}/admin.server.localdomain.error.log
CustomLog /var/log/apache2/admin.server.localdomain.access.log vhost_combined
</VirtualHost>
</pre>

Pour sécuriser l'accès, et n'autorisant par exemple que les IPs 192.168.50.0/24 :
<pre>
<Directory /path/to/admin/interface/>
Options +Indexes
IndexOptions FancyIndexing FoldersFirst IgnoreCase NameWidth=* Charset=UTF-8 XHTML
# Allow only VPN and nancy-lan
Require all denied
Require ip 192.168.50.0/24
</Directory>
</pre>

====PhpMyAdmin====

<pre>
# phpmyadmin installed from package
include /etc/phpmyadmin/apache.conf
<Directory /usr/share/phpmyadmin/>
Require all denied
Require ip 192.168.50.0/24
</Directory>
<Directory /usr/share/phpmyadmin/setup>
Require all denied
</Directory>
<Directory /usr/share/phpmyadmin/templates>
Require all denied
</Directory>
<Directory /usr/share/phpmyadmin/libraries>
Require all denied
</Directory>
</pre>

Notez que <code>/etc/phpmyadmin/apache.conf</code> défini les valeurs php <code>open_basedir</code> et <code>upload_tmp_dir</code> pour PhpMyAdmin. Cela ne fonctionnera néanmoins qu'avec mod-php, pas avec php-fpm (pour cela il faudra créer un fichier .user.ini à la racine de phpmyadmin dans <code>/usr/share/phpmyadmin/</code> contenant <code>open_basedir =</code> suivi des mêmes arguments que dans <code>/etc/phpmyadmin/apache.conf</code>

====phpsysinfo====

<pre>
# phpsysinfo from packages
alias /phpsysinfo /usr/share/phpsysinfo/
<Directory /usr/share/phpsysinfo/>
<IfModule php7_module>
php_admin_value open_basedir none
</IfModule>
Require all denied
Require ip 192.168.50.0/24
</Directory>
</pre>

====apache Status====

Activez le module status
<pre>a2enmode status</pre>

Observez le fichier <code>mods-enabled/status.conf</code>. Par défaut il active les options de status sur tous les sites (en dehors d'un virtualhost), mais avec une sécurité suffisante (requière une IP locale pour y accéder). Cette configuration est également nécessaire pour permettre à certains binaires d'accéder au status d'apache (par exemple <code>apache2ctl status</code>.

Afin d'éviter de modifier directement ce fichier de configuration, nous allons réactiver le module status dans votre vhost d'admin :
<pre>
# apache status page at /server-status
# ensure mods-enabled/status.conf does not allow an insecured /server-status
# mods-enabled/status.conf needs to be kept activated for apache local process like apache2ctl status
<Location /main/server-status>
SetHandler server-status
Require all denied
Require local
Require ip 192.168.50.0/24
</Location>
</pre>

Notez que les valeurs <code>ExtendedStatus On</code> ou <code>ProxyStatus On</code> issue de <code>mods-enabled/status.conf</code> sont appliqués automatiquement dans cette vhost également (vous ne pouvez pas les re-préciser dans une vhost).

====server info====

'''Je déconseille d'activer le module info en prod, car il donne beaucoup d'informations sur la configuration du serveur, et en cas de faille (si quelqu'un peut y accéder) cela peut être délétère.'''

Pour information, pour activer le module info :
<pre>a2enmode info</pre>

Le fichier <code>mods-enabled/info.conf/</code> active les options d'information sur tous les sites (en dehors d'un virtualhost), mais avec une sécurité renforcée (requière une IP locale pour y accéder).

====FPM Status====

Si vous utilisez php-fpm :
<pre>
# fpm status page
<Location "/fpm-status">
Require all denied
Require ip 192.168.50.0/24
ProxyPass "unix:/run/php/php7.4-fpm.sock|fcgi://localhost/fpm-status"
</Location>
</pre>

Et dans <code>/etc/php/7.4/fpm/pool.d/<votre pool>.conf</code> (par défaut dans le cas présent ça devrait être le pool <code>www</code> !
<pre>pm.status_path = /fpm-status</pre>

Notez que vous pouvez créer autant de page fpm-status que de pool. Il faudra juste veiller à ce que le chemin (ici <code>/fpm-status</code> soit différent pour chaque pool (il faut donc éditer la configuration de apache et celle du pool).

Pour plus d'information : https://www.php.net/manual/fr/fpm.status.php

=Authentification=

==Authentification Basic==

* C'est le mode d'authentification HTTP le plus fréquement utilisé
* le mot-de-passe est stocké de manière cryptée sur le serveur
* le client envoi le mot-de-passe en clair au serveur (en base64 en fait, mais c'est du pareil au même), ce qui rend ce mode non sécurisé si la connexion n'est pas effectuée en HTTPS
* Préférez la création d'un fichier nommé <code>.htpasswd</code> étant donné que ces fichiers sont interdits de lecture par la configuration par défaut de apache (/etc/apache2/apache2.conf). Dans la mesure du possible, ne créez des fichiers <code>.htpasswd</code> que dans un dossier de toute façon inaccessible au serveur web (donc en dehors du documentroot et de tout alias). En effet, les directives d'autorisations de apache d'une section supérieure annulent les directives d'autorisations précédentes de apache (<code>AuthMerging</code> à off par défaut), donc si vous autorisez l'accès complet à un repertoire (require all granted), vous risquez de supplanter la directive interdisant l'accès aux fichiers protégés
 

Création du fichier contenant les mots-de-passe :
<pre>htpasswd -c .htpasswd pfoo
New password:
Re-type new password:
Adding password for user pfoo
</pre>

Pour ajouter un nouvel utilisateur, ou modifier le mot-de-passe d'un utilisateur existant, la commande est la même sans l'argument <code>-c</code>
<pre>htpasswd .htpasswd pfoo</pre>

Le fichier <code>.htgroup</code> permet de rassembler plusieurs utilisateurs dans un même groupe. Il suffit de créer un fichier (.htgroup) texte contenant par exemple (pour créer un groupe admin et un groupe user) :
<pre>admin: pfoo plop
user: blah</pre>

Pour que tous les utilisateurs valides (qui sont présent dans le .htpasswd) aient accès au dossier :
<pre>
AuthUserFile /path/to/.htpasswd
AuthName "Accès Restreint"
AuthType Basic
require valid-user
</pre>

Accès pour l'utilisateur pfoo et l'ensemble du groupe user uniquement :
<pre>
AuthUserFile /path/to/.htpasswd
AuthGroupFile /path/to/.htgroup
AuthName "Accès Restreint"
AuthType Basic
require user pfoo
require group user
</pre>

==Authentification Digest==
* le mot-de-passe est stocké en clair sur le serveur ce qui le rend plus vulnérable à une fuite de données côté serveur (en clair ou sous forme condensée, sans salage possible, donc un pirate obtenant l'accès au fichier contenant la base de donnée digest aura un accès complet aux ressources du serveur et sans étape de décryptage)
* le client envoi le mot-de-passe hashé avec un nonce et un realm, ce qui assure que le mot-de-passe ne circule jamais en clair sur le réseau et ce même sans HTTPS
* Préférez la création d'un fichier nommé .htpasswd étant donné que ces fichiers sont interdits de lecture par la configuration par défaut de apache (/etc/apache2/apache2.conf)
 

L'outil htdigest permet de créer un fichier .htpasswd utilisant cette méthode d'authentification. Vous pouvez entrer ce que vous voulez en realm.
<pre>htdigest -c .htpasswd "votre realm" username</pre>

Pour ajouter un nouvel utilisateur, ou modifier le mot-de-passe d'un utilisateur existant, la commande est la même sans l'argument <code>-c</code> :
<pre>htdigest .htpasswd "votre realm" pfoo</pre>

Le fichier <code>.htgroup</code> permet de rassembler plusieurs utilisateurs dans un même groupe. Il suffit de créer un fichier (.htgroup) texte contenant par exemple (pour créer un groupe admin et un groupe user) :
<pre>admin: pfoo plop
user: blah</pre>

Pour que tous les utilisateurs valides (qui sont présent dans le .htpasswd) aient accès au dossier :
<pre>
AuthType Digest
AuthName "votre realm"
AuthDigestDomain /
AuthDigestProvider file
AuthUserFile /path/to/.htpasswd
AuthGroupFile /path/to/.htgroup
Require valid-user
</pre>

Accès pour l'utilisateur pfoo et l'ensemble du groupe user uniquement :
<pre>
AuthType Digest
AuthName "votre realm"
AuthDigestDomain /
AuthDigestProvider file
AuthUserFile /path/to/.htpasswd
AuthGroupFile /path/to/.htgroup
require user pfoo
require group user
</pre>

=HTTPS=

==Redirection HTTP vers HTTPs==

* Solution avec le module Rewrite, applicable à la fois dans une vhost écoutant sur les port 80 ou 443 :
<pre>
RewriteEngine on
RewriteCond %{HTTPS} off
RewriteRule ^/?(.*) https://%{SERVER_NAME}/$1 [R=301,L]
</pre>

Il peut être intéressant de ne pas rewrite certaine URLs. Dans l'exemple ci dessous, les urls en lien avec les challenges letsencrypt :
<pre>
RewriteCond %{REQUEST_URI} !^/.well-known/acme-challenge/.*
</pre>

* Solution avec le module Alias, à ne surtout pas appliquer dans une vhost écoutant sur le port 443 (redirection infinie) :
<pre>
Redirect permanent / https://domain.tld/
</pre>

=Tests de sécurité divers=
https://observatory.mozilla.org/ 
https://tls.imirhil.fr/ 
https://www.ssllabs.com/ssltest/

Exiftool

2026-04-05T00:54:17Z

Pfoo :

<pre>exiftool -p '$filename has date $filemodifydate and $dateTimeOriginal and $CreateDate and $ModifyDate' -q -f *</pre>

Enlever 1h au metadata Modify Date, Create Date et Date/Time Original :
<pre>exiftool -AllDates-=1 file.jpg</pre>

Définir les metadata Modify Date, Create Date et Date/Time Original à la date de dernière modification du fichier (File Modification Date/Time) :
<pre>exiftool -preserve '-alldates<filemodifydate' *.jpg</pre>

Définir les metadata Modify Date, Create Date et Date/Time Original à la date de dernière modification du fichier (File Modification Date/Time), uniquement si DateTimeOriginal est absent ou a 0 :
exiftool -preserve '-alldates<filemodifydate' -if '(not $DateTimeOriginal or ($DateTimeOriginal eq "0000:00:00 00:00:00""))' *.jpg

Définir les metadata Modify Date, Create Date et Date/Time Original à la même valeur que Date/Time Original :
<pre>exiftool -preserve '-alldates<datetimeoriginal' *.jpg</pre>

Définir les metadata Modify Date, Create Date et Date/Time Original fonction du nom du fichier en tronquant le prefixe IMG- et le suffixe -WA* puis en ajoutant une heure à 00:00:00 :
<pre>exiftool -preserve '-alldates<${filename;s/IMG-//;s/-WA.*//} 00:00:00' *.jpg</pre>

-alldates est un alias pour -CreateDate -DateTimeOriginal -ModifyDate

Exiftool

2026-04-05T00:51:40Z

Pfoo :

<pre>exiftool -p '$filename has date $filemodifydate and $dateTimeOriginal and $CreateDate and $ModifyDate' -q -f *</pre>

Enlever 1h au metadata Modify Date, Create Date et Date/Time Original :
<pre>exiftool -AllDates-=1 file.jpg</pre>

Définir les metadata Modify Date, Create Date et Date/Time Original à la date de dernière modification du fichier (File Modification Date/Time) :
<pre>exiftool -preserve '-alldates<filemodifydate' *.jpg</pre>

Définir les metadata Modify Date, Create Date et Date/Time Original à la même valeur que Date/Time Original :
<pre>exiftool -preserve '-alldates<datetimeoriginal' *.jpg</pre>

Définir les metadata Modify Date, Create Date et Date/Time Original fonction du nom du fichier en tronquant le prefixe IMG- et le suffixe -WA* puis en ajoutant une heure à 00:00:00 :
<pre>exiftool -preserve '-alldates<${filename;s/IMG-//;s/-WA.*//} 00:00:00' *.jpg</pre>

-alldates est un alias pour -CreateDate -DateTimeOriginal -ModifyDate

Exiftool

2026-04-05T00:50:33Z

Pfoo :

Exiftool

2026-04-05T00:47:03Z

Pfoo :

Exiftool

2026-04-05T00:45:24Z

Pfoo :

Exiftool

2026-04-05T00:42:50Z

Pfoo : Page créée avec « <pre>exiftool -p '$filename has date $filemodifydate and $dateTimeOriginal and $CreateDate and $ModifyDate' -q -f *</pre> »

<pre>exiftool -p '$filename has date $filemodifydate and $dateTimeOriginal and $CreateDate and $ModifyDate' -q -f *</pre>

Accueil

2026-01-02T15:30:00Z

Pfoo : Annulation des modifications 4423 de Pfoo (discussion)

__NOTOC__
{|style="width:100%; background:#F5F5F5;" cellpadding="10"
!style="font-size:200%; color:#056FFA;"|Bienvenu sur ce wiki
|-
|Ce wiki est dédié aux différentes distributions linux et aux logiciels libres qui les accompagnent.
|}

{|style="width:100%; border:1px solid #FFFFFF; background:#FFFFFF; color:#FFFFFF;" cellpadding="4" cellspacing="0"
!style="font-size:115%; background:#056FFA;"|Rechercher par
|-align="center"
| [[Special:Categories|Catégories]] [[:Catégorie:Distributions|Distributions]]
|}

=Généralités=
[[Généralités sur linux]]


{| style="background:transparent;"


| style="width:50%; vertical-align:top;" |
= Serveur =
; [[:Category:serveur|Liste des pages]]
:
; [[Sécuriser_ses_sites_avec_letsencrypt_et_acme-tiny|letsencrypt]]
; [[:Category:monitoring|Monitoring]]
: Tutoriels détaillants des outils de supervision et de métrologie
;[[Proxmox 8]]
:Tutoriel détaillant l'installation de proxmox 8.x sous debian
;[[Sécurisation d'un serveur linux]]
:Guideline basique de propositions de sécurisation d'un serveur linux
; [[:Category:security|Sécurité]]
: outils de sécurité
; [[:Category:virtualisation|virtualisation]]
: proxmox principalement


| style="width:50%; vertical-align:top;" |
= Bureautique =
; [[:Category:desktop|Liste des pages]]
:
;[[Kubuntu / KDE : login ssh automatique par clé]]
:
;[[ssh : le client libre de OpenSSH]]
:
;[[Court-circuiter la vérification dns]]
:
;[[Graver un iso bootable sur une clé usb]]
:Vos CDRW ne marchent plus ? Vous n'avez pas de lecteur cd sur votre netbook ?
:
;[[Diagnostic smart d'un disque]]
:
;[[Fibre orange en DHCP avec routeur pfsense]]


| style="width:50%; vertical-align:top;" |

|-


| style="width:50%; vertical-align:top;" |
= Développement =
; [[:Category:développement|Liste des pages]]
:
; [[Auto-complétion_avec_Vim|Auto-complétion avec Vim]]
: Configurer l'auto-complétion C++ dans l'editeur de texte Vim
;[[Git]]
:Gestionnaire de version décentralisé


| style="width:50%; vertical-align:top;" |
= Divers =
; [[:Category:Tools|Outils]]
:


|}