Configuration du serveur

1. Retirer la source DVD

Par défaut, le DVD ou l’ISO d’installation est toujours pris en compte par APT pour effectuer les mises à jour. Or, d’une part, cela ne sert à rien et, surtout, ce support, qui a servi pendant l’installation, est déconnecté de la machine. À chaque recherche de mises à jour, cela générera une erreur comme celle-ci et empêchera APT d’obtenir de nouvelles mises à jour :

Pour corriger ce problème, il suffit de supprimer ou de commenter la ligne concernée dans le fichier /etc/apt/sources.list :

root@mysrv:~# nano /etc/apt/sources.list 
# deb cdrom:[Debian GNU/Linux 12.12.0 _Bookworm_ - Official [...]  

2. Contrôle des autres sources

Avant de pouvoir effectuer des mises à jour, assurons-nous que toutes les sources nécessaires sont présentes.

root@mysrv:~# cat /etc/apt/sources.list  

Nous constatons que le dépôt des mises à jour des paquets, ainsi que celui des mises à jour de sécurité, sont commentés, ce qui n’est pas normal.

Avec une telle configuration, il est impossible pour le système de trouver des mises à jour :

Rappel du chapitre Les usages avancés, section Gestion des paquets - Les dépôts :...

1. Ajout au groupe sudo

Configurons l’utilisateur non root, car c’est avec celui-ci que nous allons administrer la machine. Pour qu’il puisse le faire, il suffit de l’ajouter au groupe sudo :

root@mysrv:~# adduser alex sudo 
Ajout de l'utilisateur alex au groupe sudo... 
Fait.  

Installons ensuite la commande sudo :

root@mysrv:~# apt update 
root@mysrv:~# apt install sudo  

Quittons la session root, puis connectons-nous avec notre utilisateur et vérifions qu’il appartient bien au groupe sudo :

root@mysrv:~# exit  

C’est bien le cas.

Effectuons une action d’administration pour tester le bon fonctionnement de cet accès :

L’utilisateur est désormais fonctionnel pour les actions d’administration.

2. Personnalisation de nano

Comme nous l’avons vu au chapitre Utiliser Linux via un terminal, section L’éditeur de texte nano - Personnalisation, nous allons personnaliser nano pour que son interface soit plus lisible.

alex@mysrv:~$ cp /etc/nanorc .nanorc  

alex@mysrv:~$ nano .nanorc 
set autoindent 
set linenumbers 
set tabsize 4 
set tabstospaces 
set unix  

alex@mysrv:~$ sudo ln -s ~/.nanorc /root/.nanorc ...

1. IP de base

Nous pouvons noter l’IP qui nous a été attribuée dynamiquement par le DHCP sur notre interface réseau principale :

Nous voyons qu’il s’agit de l’adresse 192.168.1.14/24.

1. Installation

Apache est le paquet retenu par tasksel lorsqu’il vous a proposé d’installer serveur web pendant l’installation du système au chapitre précédent (Configuration du serveur). Si vous n’avez pas coché cette option, vous pourrez installer Apache maintenant comme suit :

alex@mysrv:~$ sudo apt update 
alex@mysrv:~$ sudo apt install apache2 apache2-doc  

Puis on le démarre comme suit :

alex@mysrv:~$ sudo systemctl start apache2.service  

Enfin, on active sa persistance :

alex@mysrv:~$ sudo systemctl enable apache2.service  

Vérifions que le service est bien lancé et persistant en consultant son statut :

Testons l’accès à la page par défaut d’Apache depuis le navigateur web du client, en allant sur http://mysrv :

Toutes ces informations nous montrent que l’installation d’Apache est un succès. Nous allons maintenant pouvoir le configurer pour qu’il héberge nos sites.

2. Fonctionnement

Notez bien que, dès qu’on modifie la configuration d’Apache, il est préférable de la tester :

sudo apachectl -t  

Puis, il faut redémarrer ou recharger le service pour que la modification soit bien prise en compte :

sudo systemctl restart apache2.service  

Ou

sudo systemctl reload apache2.service 

Propriétaire et groupe propriétaire

www-data est l’utilisateur système et le groupe du service Apache. Pour qu’Apache puisse faire tourner vos sites web, le groupe www-data doit avoir, au minimum, le droit de lecture sur le code source et les droits de lecture et d’exécution sur les répertoires contenant ce code. En revanche, il n’est pas nécessaire que l’utilisateur www-data soit propriétaire du code source : on laissera cette propriété à l’utilisateur qui maintiendra ce code.

Les modules

Apache dispose de modules qui permettent d’étendre ses fonctionnalités par défaut.

Activation :

a2enmod <module>  

Désactivation :

a2dismod <module>  

Pour...

1. Nettoyage

Arrêtez et désactivez le service Apache s’il est présent sur votre système :

alex@mysrv:~$ sudo systemctl stop apache2.service 
alex@mysrv:~$ sudo systemctl disable apache2.service  

2. Installation

alex@mysrv:~$ sudo apt update 
alex@mysrv:~$ sudo apt install nginx  

Puis démarrez-le comme suit :

alex@mysrv:~$ sudo systemctl start nginx.service  

Enfin, activez sa persistance :

alex@mysrv:~$ sudo systemctl enable nginx.service  

3. Fonctionnement

Nginx fonctionne de manière relativement similaire à Apache. Aussi, dès qu’on modifie sa configuration, il est préférable de la tester avant de redémarrer ou de recharger le service pour que la modification soit bien prise en compte :

sudo nginx -t  

Puis :

sudo systemctl restart nginx.service  

Ou

sudo systemctl reload nginx.service  

Propriétaire et groupe propriétaire

www-data est l’utilisateur système et le groupe...

1. Installation

alex@mysrv:~$ sudo apt update 
alex@mysrv:~$ sudo apt install mariadb-server  

2. Manipulation de MariaDB

Nous allons créer un utilisateur dans MariaDB, puis une base de données pour le futur site WordPress.

Ouvrir un shell MariaDB

alex@mysrv:~$ sudo mariadb  

Ajouter un utilisateur wp_user_1

CREATE USER 'wp_user_1'@'localhost' IDENTIFIED BY 'password';  

Créer une base de données testdb

CREATE DATABASE testdb;  

Permettre à l’utilisateur d’administrer cette base

GRANT ALL ON testdb.* TO 'wp_user_1'@'localhost' IDENTIFIED BY 'password' WITH GRANT OPTION; 
FLUSH PRIVILEGES; 
exit;  

1. Installation

Nous allons installer la dernière version de PHP disponible dans les dépôts de Debian 12, soit la version 8.2 au moment où ces lignes sont écrites — ce n’est donc pas la toute dernière version stable —, ainsi que PHP pour MySQL/MariaDB et PHP pour Apache ou Nginx.

alex@mysrv:~$ sudo apt install php8.2 php8.2-mysql  

2. Mise en place pour Apache

alex@mysrv:~$ sudo apt install libapache2-mod-php8.2  

Si ce n’est pas déjà fait, il faudra ensuite activer le module PHP pour Apache :

alex@mysrv:~$ sudo a2enmod php8.2  

Les sites qui ont besoin de PHP l’utiliseront automatiquement, sans autre intervention.

La configuration...

1. WordPress de zéro

Nous allons voir ici le cas d’une installation de WordPress.

Il suffit de télécharger WordPress depuis le site officiel (https://fr.wordpress.org/download/), puis de l’installer sur le serveur.

Rappel des prérequis de WordPress au moment où ces lignes sont écrites :

Télécharger et décompresser l’archive

alex@mysrv:~$ wget https://wordpress.org/latest.tar.gz 
alex@mysrv:~$ mkdir -p /var/www/site2/html/ 
alex@mysrv:~$ tar -xzvf latest.tar.gz 
-C /var/www/site2/html/ --strip-components=1  

Le contenu de l’archive doit maintenant se trouver dans /var/www/site2/html.

Installer PHP, MySQL ou MariaDB et créer une base de données dédiée

Nous avons déjà installé PHP et MariaDB et créé une base de données testdb pour ce site. Voir les sections précédentes.

Apache

Créer un fichier de configuration vhost

alex@mysrv:~$ sudo nano /etc/apache2/sites-available/site2.conf 
<VirtualHost *:80> 
  ServerName site2.host 
  DocumentRoot /var/www/site2/html/ 
  ErrorLog /var/log/apache2/site2_error.log 
  CustomLog /var/log/apache2/site2_access.log combined 
  <Directory /var/www/site2> 
     Options -Indexes +FollowSymLinks 
     AllowOverride All ...

1. Sans DNS

Jusqu’à présent, nous avons vu comment héberger des sites non exposés sur Internet, donc en local ; on peut parler d’intranet. Dans ce cas précis, vous pouvez techniquement choisir le nom de domaine que vous voulez.

Voyons maintenant comment rendre vos sites accessibles depuis Internet.

Prérequis

Outre le fait de disposer d’un routeur permettant le port forwarding afin de rediriger les requêtes reçues sur les ports 80 et 443 du routeur vers le serveur, il faudra :

1. Obtenir son adresse IP publique : elle peut être consultée sur whatismyip.com ou obtenue avec la ligne de commande suivante :

curl https://ipinfo.io/ip ; echo  

2. Connaître l’adresse IP privée du serveur : 192.168.1.54.

3. Réactiver le DHCP sur le serveur (nécessaire pour faire la réservation DHCP statique via le routeur). Cette manipulation doit être effectuée directement sur celui-ci, car la connexion SSH sera coupée dès que l’interface réseau sera arrêtée :

Nous arrêtons l’interface :

alex@mysrv:~$ sudo ifdown enp0s3  

Nous modifions le fichier de configuration des interfaces :

alex@mysrv:~$ sudo nano /etc/network/interfaces 
allow-hotplug enp0s3 
iface enp0s3 inet dhcp 
auto enp0s3  

Nous redémarrons l’interface :

alex@mysrv:~$ sudo ifup enp0s3  

L’IP ne sera peut-être plus la même ; ce n’est pas grave, car nous allons la spécifier dans les paramètres des baux DHCP de la box.

1. Explication

Comme nous l’avons déjà évoqué au début de l’ouvrage, TLS permet de protéger les communications entre un client et un serveur en les chiffrant. Le certificat permet également au client de vérifier que le serveur présente bien un certificat valable pour le nom de domaine demandé. Les certificats TLS peuvent ainsi être comparés à des cartes d’identité numériques pour les sites web.

Un certificat est destiné à être présenté publiquement par le serveur. Il contient notamment l’identité du domaine, sa clé publique, sa période de validité et la signature numérique d’une autorité de certification (CA). Le domaine utilise sa propre paire de clés asymétriques, distincte de celle de l’autorité de certification. Lors de l’établissement d’une connexion TLS, le serveur prouve qu’il possède la clé privée associée au certificat. Le client vérifie ensuite la validité du certificat, la correspondance avec le nom de domaine et la chaîne de confiance jusqu’à une autorité reconnue.

Dans cette section, nous détaillerons la mise en place des certificats pour plusieurs cas d’usage...

1. D’OVHcloud à Hostinger

Prenons le cas d’un nom de domaine enregistré chez un fournisseur — par exemple fosslab.fr chez OVHcloud — que nous souhaitons utiliser avec un serveur VPS souscrit auprès d’un autre fournisseur, ici Hostinger.

Étape 1 - Ajouter le domaine dans Hostinger

Dans Hostinger, accédez aux paramètres du VPS, puis au gestionnaire du VPS, afin d’ajouter le nom de domaine :

Hostinger indique alors les serveurs DNS à déclarer pour ce domaine chez OVHcloud :

Étape 2 - Modifier les serveurs DNS du domaine chez OVHcloud

Dans OVHcloud, remplacez les serveurs DNS actuellement associés au domaine par ceux fournis par Hostinger :

La modification est alors en cours de traitement :

Actualisez la page après quelques instants pour vérifier que la modification a bien été prise en compte :

Étape 3 - Finaliser la connexion du domaine dans Hostinger

Cliquez sur Terminé...