linux4freak, linux pour le passionné

Installation de base

Nous allons configurer un serveur ftp avec le support sftp et tls. Pour cela, nous allons installer les paquets suivants:

apt install proftpd proftpd-mod-crypto

Ensuite nous nous rendons dans le répertoire /etc/proftpd. Les fichiers de configuration sont très bien documentés, cependant, nous allons créer nos propres fichiers de configuration dans le répertoire conf.d.

Créons le fichier /etc/proftpd/conf.d/00-extra.conf:

ServerName "My FTP Server"
RequireValidShell on
AuthOrder mod_auth_pam.c* mod_auth_unix.c
DefaultRoot ~

Configuration du SFTP

Nous allons générer le fichier dhparams4096.pem (ou 2048 si vous le souhaitez), attention cela prend un certain temps !

openssl dhparam -out /etc/proftpd/dhparams4096.pem 4096

Passons maintenant au fichier /etc/proftpd/conf.d/01-sftp.conf:

LoadModule mod_sftp.c
LoadModule mod_sftp_pam.c
­<IfModule mod_sftp.c>
	<VirtualHost 0.0.0.0>
		SFTPEngine on
		Port 2233
		SFTPLog /var/log/proftpd/sftp.log

		# On utilise les même clefs ssh que celles du serveur openssh
		SFTPHostKey /etc/ssh/ssh_host_rsa_key
		SFTPHostKey /etc/ssh/ssh_host_dsa_key
		SFTPDHParamFile /etc/proftpd/dhparams4096.pem
		SFTPAuthMethods password
		RequireValidShell off
		SFTPCompression delayed
	</VirtualHost>
</IfModule>

Configuration du TLS

Pour pouvoir utiliser le TLS, nous devons disposer de certificats ssl. Soit vous disposez déjà de vos propres certificats (via letsencrypt par exemple), soit vous créez vos certificats auto-signés, c’est ce que nous allons faire ici:

openssl req -x509 -newkey rsa:4096 -sha256 -keyout /etc/ssl/private/proftpd.key -out /etc/ssl/certs/proftpd.crt -nodes -days 3650

On modifie les droits sur ces fichiers:

chmod 600 /etc/ssl/private/proftpd.key
chmod 600 /etc/ssl/certs/proftpd.crt

Intéressons nous enfin à la configuration du TLS, pour cela, créons le fichier /etc/proftpd/conf.d/02-tls.conf:

LoadModule mod_tls.c
LoadModule mod_tls_fscache.c
LoadModule mod_tls_shmcache.c
LoadModule mod_tls_memcache.c

<IfModule mod_tls.c>
	TLSEngine on
	TLSRSACertificateFile /etc/ssl/certs/proftpd.crt
	TLSRSACertificateKeyFile /etc/ssl/private/proftpd.key
	TLSLog /var/log/proftpd/tls.log
	TLSRequired on
	TLSOptions  EnableDiags NoSessionReuseRequired
	TLSVerifyClient off
</IfModule>

Modification SSH

Si vous avez déjà un serveur openssh qui tourne sur votre config, il est nécessaire de désactiver/commenter la ligne suivante dans le fichier /etc/ssh/sshd_config:

# override default of no subsystem
# Subsystem sftp /usr/lib/openssh/sftp-server

Redémarrage des services

Il ne reste plus qu’à redémarrer les services proftpd et ssh:

service ssh restart
service proftpd restart

et de contrôler le bon fonctionnement:

journalctl -xeu proftpd.service

Reste à tester cette configuration en sftp et ftp explicite sur TLS avec votre client ftp favori.

Après avoir migré les packages mysql vers mysql-openssl et avoir configuré un proxy transparent avec squidGuard, il s’avère que squid ne se lance pas par défaut à cause du profil apparmor usr.sbin.squid qui n’autorise pas l’accès à l’éxécutable squidGuard:

audit[2214270]: AVC apparmor="DENIED" operation="exec" class="file" profile="/usr/sbin/squid" name="/usr/bin/squidGuard" pid=2214270 comm="squid" requested_mask="x" denied_mask="x" fsuid=13 ouid=0
ipcCreate: /usr/bin/squidGuard: (13) Permission denied

Aussi, afin de résoudre ce problème, il vous suffit d’éditer le fichier /etc/apparmor.d/usr.sbin.squid et d’ajouter la ligne suivante dans la section # squid configuration:

usr/bin/squidGuard rix,

Il vous reste alors à charger le profil modifié:

apparmor_parser -r /etc/apparmor.d/usr.sbin.squid

et enfin à relancer squid:

service squid restart

Vous n’avez plus qu’à vérifier que le service s’est bien exécuté et que le redirector se charge bien:

service squid status

● squid.service - Squid Web Proxy Server
Loaded: loaded (/lib/systemd/system/squid.service; enabled; preset: enabled)
Active: active (running) since Mon 2023-08-28 12:33:03 CEST; 7h ago
Docs: man:squid(8)
Process: 3922596 ExecStartPre=/usr/sbin/squid --foreground -z (code=exited, status=0/SUCCESS)
Main PID: 3922601 (squid)
Tasks: 22 (limit: 154421)
Memory: 178.2M
CPU: 43.065s
CGroup: /system.slice/squid.service
├─3922601 /usr/sbin/squid --foreground -sYC
├─3922608 "(squid-1)" --kid squid-1 --foreground -sYC
├─3922613 "(security_file_certgen)" -s /var/spool/squid/ssl_db -M 8MB
├─3922614 "(security_file_certgen)" -s /var/spool/squid/ssl_db -M 8MB
├─3922615 "(security_file_certgen)" -s /var/spool/squid/ssl_db -M 8MB
├─3922616 "(security_file_certgen)" -s /var/spool/squid/ssl_db -M 8MB
├─3922617 "(security_file_certgen)" -s /var/spool/squid/ssl_db -M 8MB
├─3922618 "(logfile-daemon)" /var/log/squid/access.log
├─3922619 "(unlinkd)"
├─3922620 "(pinger)"
├─3922621 "(squidGuard)" -c /etc/squidguard/squidGuard.conf
├─3922622 "(squidGuard)" -c /etc/squidguard/squidGuard.conf
├─3922644 "(squidGuard)" -c /etc/squidguard/squidGuard.conf
├─3923047 "(squidGuard)" -c /etc/squidguard/squidGuard.conf
├─3923048 "(squidGuard)" -c /etc/squidguard/squidGuard.conf
├─3923049 "(squidGuard)" -c /etc/squidguard/squidGuard.conf

Edite du 26/09/2023: le patch définitif a été intégré aux derniers kernel (6.5.5). Tout est rentré dans l’ordre.

Edit du 12/09/2023: un fil de discussion est disponible ici apportant une réponse officielle au problème, et devrait être très prochainement intégré au kernel.

Article original:
Actuellement (au 24/08/2023), si vous avez l’intention d’utiliser le NVME Lexar NM790 sous linux, cela s’avère très compliqué car il ne s’initialise tout simplement pas au démarrage.

Je viens d’en faire l’expérience en clonant mon système sur ce nvme:

NVMe: Device not ready; aborting initialisation, CSTS=0x0

Après plusieurs recherches sur internet (notamment ce lien), il s’agit bien d’un problème connu, mais rassurez-vous il peut tout a fait se résoudre. Cependant inutile d’utiliser le premier patch proposé, car il ne correspond pas à notre nvme:

Non-Volatile memory controller: Shenzhen Longsys Electronics Co., Ltd. Device 1602 (rev 01)
PCI_DEVICE(0x1d97, 0x1602)

Le patch proposant  de modifier drivers/nvme/host/core.c permet de booter correctement sur ce nvme. La modification proposée évite d’avoir NVME_CSTS_RDY à 0.

Cependant j’ai modifié la ligne:

(timeout + 1) / 2, « initialisation »);

en

((timeout + 1) / 2) + 1, « initialisation »);

De fait voici le patch définitif:

diff --git a/drivers/nvme/host/core.c b/drivers/nvme/host/core.c
index 3ec38e2b9173..ab2583cb42aa 100644
--- a/drivers/nvme/host/core.c
+++ b/drivers/nvme/host/core.c
@@ -2408,6 +2408,7 @@ int nvme_enable_ctrl(struct nvme_ctrl *ctrl)
	} else {
	        timeout = NVME_CAP_TIMEOUT(ctrl->cap);
	}
+	dev_info(ctrl->device, "[PATCH] nvme core got timeout %u\n",timeout);

	ctrl->ctrl_config |= (NVME_CTRL_PAGE_SHIFT - 12) << NVME_CC_MPS_SHIFT;
	ctrl->ctrl_config |= NVME_CC_AMS_RR | NVME_CC_SHN_NONE;
@@ -2425,8 +2426,9 @@ int nvme_enable_ctrl(struct nvme_ctrl *ctrl)
	ret = ctrl->ops->reg_write32(ctrl, NVME_REG_CC, ctrl->ctrl_config);
	if (ret)
	        return ret;
+	dev_info(ctrl->device, "[PATCH] nvme_wait_ready now wait for %u, previously %u\n",((timeout + 1) / 2) + 1, (timeout + 1) / 2);
	return nvme_wait_ready(ctrl, NVME_CSTS_RDY, NVME_CSTS_RDY,
-			    (timeout + 1) / 2, "initialisation");
+			    ((timeout + 1) / 2) + 1, "initialisation");
}
EXPORT_SYMBOL_GPL(nvme_enable_ctrl);

Il ne vous reste plus qu’à compiler votre propre kernel avec cette modif.

Je vous propose également ma compilation du dernier xanmod 6.4.12 en x64v4 intégrant ce patch: lien cloud

Compter le nombre de fichers présents dans chaque répertoire de l'emplacement courant ( lien origine ) :

find -maxdepth 1 -type d | while read -r dir; do printf "%s:\t" "$dir"; find "$dir" -type f | wc -l; done

Après s'être attelé à avoir un apache 2.4 fonctionnel sur notre serveur debian, on peut pousser un peu plus loin la configuration, notamment sur deux points:

• la sécurité SSL
• la gestion du cache OPCache
• La mise en cache mémoire avec memcached

SECURITE SSL

Je considère ici que vous avez déjà un site opérationnel et que le mode SSL est déjà actif.
Afin d'assurer une sécurité correcte de votre site, il est nécessaire d'autoriser/interdire certains protocoles devenus obsolètes/dangeureux ainsi que certains cryptages. Dans votre VirtualHost, vous pouvez alors ajouter les lignes suivantes:

SSLProtocol ALL -SSLv2 -SSLv3
SSLHonorCipherOrder on
SSLCompression off
SSLCipherSuite ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:ECDH+3DES:DH+3DES:RSA+AESGCM:RSA+AES:RSA+3DES:!aNULL:!MD5:!DSS;

• La première lignes autorise tous les protocoles SSL/TLS sauf les versions 2 et 3. Si vous le souhaitez, vous pouvez interdire aussi le TLSv1, à voir avec les visites effectuées sur votre site (plusieurs versions d'android et d'internet explorer ne pourront plus accéder à votre site!)
• La seconde ligne demande de respecter l'ordre de la Suite Cipher en ligne 4.
• La troisième ligne parle d'elle même
• La quatrième ligne correspond la liste des cryptages autorisés/interdits pour notre site.

Il est également possible d'ajouter deux commandes supplémentaires, tout en n'oubliant pas d'activer le module header a2enmod headers:

Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains"
Header always set X-Frame-Options DENY

OPCACHE

La bonne nouvelle, c'est qu'OPcache est activé par défaut par debian lors de l'installation d'apache 2.4 / php 5.6.
Pour le vérifier je me suis inspiré d'un lien dans l'article de ce site pour le vérifier:

cd /var/www
wget https://raw.githubusercontent.com/rlerdorf/opcache-status/master/opcache.php

Il ne vous reste plus qu'à aller sur l'adresse suivante http://adresse_de_mon_serveur/opcache.php pour vérifier qu'OPcache est fonctionnel.

On peut encore améliorer les choses en ajoutant les lignes suivantes au fichier /etc/php5/mods-available/opcache.ini:

opcache.memory_consumption=128
opcache.interned_strings_buffer=8
opcache.max_accelerated_files=4000
opcache.max_wasted_percentage=5
opcache.use_cwd=1
opcache.validate_timestamps=1
opcache.revalidate_freq=1
opcache.fast_shutdown=1
opcache.enable_cli=1

Ne pas oublier de relancer le service lié: service php5-fpm restart

MEMCACHED

Si ce n'est déjà fait, installez les paquets suivants:

apt-get install memcached php5-memcached

On peut maintenant éditer le fichier /etc/memcached.conf et modifier/ajouter les paramètres suivants:

-m 128
# Custom – decrease wasted slab space
-f 1.05 -I 128k

Reste à redémarrer le serveur apache, service apache2 restart

Sources:

• https://www.activecollab.com/blog/3-zend-opcache-memcached.html
• https://rtcamp.com/tutorials/php/zend-opcache/

Les permaliens correspondent à une réécriture d'adresse internet rendant plus facile la gestion des liens d'un site.
Wordpress gère les permaliens et permet plusieurs choix de "présentation" pour l'utilisateur.
Si votre site wordpress est situé dans le dossier /var/www/blog, il suffit d'ajouter dans la section virtualhost de votre site (N'oubliez pas la partie ssl si vous l'utilisez aussi !)

<Directory /var/www/blog>
                Options Indexes FollowSymLinks MultiViews
                AllowOverride All
                Order allow,deny
                allow from all
</Directory>

Si toutefois votre wordpress est à la racine (/var/www), il faut alors modifier votre configuration de site apache

    <Directory />
            Options FollowSymLinks Indexes
            AllowOverride FileInfo
    </Directory>

Il vous suffit ensuite de recharger apache:

service apache2 reload

Enfin, dans l'interface d'administration de wordpress (Réglages – Permaliens), vous n'avez plus qu'à choisir le permalien qui vous convient le mieux, et le tour est joué.

Objectif: toutes les demandes qui arrivent sur mondomaine.com sont redirigées vers le répertoire « blog ».

Pour cela, rien de plus simple, il suffit:

1. d’ajouter dans la partie VirtualHost de /etc/apache2/sites-enabled/default (ou autre suivant votre config):
   

   RedirectMatch ^/$ /blog/

2. de recharcher le serveur apache: service apache2 reload

Voilà le tour est joué !