**Avant toute chose, je tiens à préciser que si vos faites une erreur dans ceci une réinstallation du VPS sera obligatoire !**
*Pour commencé connecté avec putty a votre VPS.
*Commençons par changer le port de connexion SSH (serte avec un balayage des ports, le port SSH sera vite découvert), ça sera avec ce port que vous vous connecteraient avec putty par la suite.
(si vous avez suivis le tuto de M3ND4X vous avez installez nano)
Changement du port SSH:
Dans la fenêtre putty entrez ceci:
[php]
nano /etc/ssh/sshd_config
[/php]
Vous arrivez dans le fichier "sshd_config"
[php]
Remplacez
# What ports, IPs and protocols we listen for
Port 22
par
# What ports, IPs and protocols we listen for
Port 2222 (Ici j'ai mis 2222 vous pouvez mettre bien sur se que vous voulez)
[/php]
une fois ceci fait, appuyez sur "Ctrl" gauche et sur "X" ensuite appuyez sur "Y" ou "O" selon la langue de votre VPS.
Redémarrez SSH:
[php]/etc/init.d/ssh restart[/php]
Reconnectez vous avec putty (oubliez pas d'indiquez votre nouveau port).
*Nous allons maintenant fermer tous les ports de notre VPS. Pour ceci nous allons nous servir d'Iptables, qui est un des meilleurs firewalls que je connais.
Installation de IPtables:
(si vous avez suivi le tuto vos étes connectés à votre serveur)
Sur certain VPS iptables n'est pas installé, il faut donc le faire
[php]
apt-get install iptables
[/php]
Une fois ceci fait il faut autorisé certains ports
[php]
nano /etc/init.d/firewall
[/php]
Maintenant nous allons grace à ce fichier fermé tous les ports et ouvert ceux qu'on a besoin.
Ceci il faut impérativement le mettre
[php]
#!/bin/sh
# Vide la table actuelle
iptables -t filter -F
# Vider les règles personnelles
iptables -t filter -X
# Interdire toute connexion entrante et sortante
iptables -t filter -P INPUT DROP
iptables -t filter -P FORWARD DROP
iptables -t filter -P OUTPUT DROP
# ---
# Ne pas casser les connexions etablies
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
# Autoriser loopback
iptables -t filter -A INPUT -i lo -j ACCEPT
iptables -t filter -A OUTPUT -o lo -j ACCEPT
# ICMP (Ping)
iptables -t filter -A INPUT -p icmp -j ACCEPT
iptables -t filter -A OUTPUT -p icmp -j ACCEPT
# ---
# SSH In
iptables -t filter -A INPUT -p tcp --dport 2222 -j ACCEPT //a modifier selon le port d'accés SSH
# SSH Out
iptables -t filter -A OUTPUT -p tcp --dport 2222 -j ACCEPT //a modifier selon le port d'accés SSH
# DNS In/Out
iptables -t filter -A OUTPUT -p tcp --dport 53 -j ACCEPT
iptables -t filter -A OUTPUT -p udp --dport 53 -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 53 -j ACCEPT
iptables -t filter -A INPUT -p udp --dport 53 -j ACCEPT
# NTP Out
iptables -t filter -A OUTPUT -p udp --dport 123 -j ACCEPT
[/php]
Se qui suit est en fonction a se quoi vous sert votre VPS.
Les ligne sont a mettre a la suite de se que vous avez mis ci dessus
[php]
# Si vous avez un site web
iptables -t filter -A OUTPUT -p tcp --dport 80 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 443 -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 80 -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 8443 -j ACCEPT
#Pour mysql
# mysql
iptables -t filter -A OUTPUT -p tcp --dport 3306 -j ACCEPT
iptables -t filter -A OUTPUT -p udp --dport 3306 -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 3306 -j ACCEPT
iptables -t filter -A INPUT -p udp --dport 3306 -j ACCEPT
# samp
iptables -t filter -A OUTPUT -p tcp --dport 7777 -j ACCEPT
iptables -t filter -A OUTPUT -p udp --dport 7777 -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 7777 -j ACCEPT
iptables -t filter -A INPUT -p udp --dport 7777 -j ACCEPT
# Teamspeak
iptables -t filter -A INPUT -p udp --dport 9987 -j ACCEPT
iptables -t filter -A OUTPUT -p udp --dport 9987 -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 10011 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 10011 -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 30033 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 30033 -j ACCEPT
iptables -t filter -A INPUT -p tcp --dport 2008 -j ACCEPT
iptables -t filter -A OUTPUT -p tcp --dport 2008 -j ACCEPT
[/php]
Comme pour le fichier de configuration SSH il vous faut le sauvegarder, appuyez sur "Ctrl" gauche et sur "X" ensuite appuyez sur "Y" ou "O" selon la langue de votre VPS.
Une fois le fichier sauvegardé, il faut le rendre exécutable
[php]
chmod +x /etc/init.d/firewall
[/php]
Avant de faire la commande, pour démarrer le script à chaque reboot du serveur, je relance iptables (pour être sûr que l’accès SSH fonctionne toujours
Pour redémarrer iptables
[php]
/etc/init.d/firewall
[/php]
Si vous perdez la connexion à putty essayez de vous reconnecter et si cela ne fonctionne pas, redémarré votre VPS.
Si tout fonctionne je vous invite donc à faire la commande ci-dessous pour lancer le script a chaque démarrage de votre vps
[php]
update-rc.d firewall defaults
[/php]
Vous pouvez aussi ban des IP avec iptables
[php]
iptables -A INPUT -s adresse_ip -j DROP // Modifier 'adresse_ip" par l'ip que vous voulez bannir
[/php]
Nous allons maintenant installer fail2bans, fail2bans est un script surveillant les accès réseau grâce aux logs des serveurs.
Lorsqu'il détecte des erreurs d'authentification répétées, il prend des contre-mesures en bannissant l'adresse IP grâce à iptables
Installation de Fail2Ban:
Fail2Ban est normalement pas installé sur votre machine, pour l'installer:
[php]
apt-get install fail2ban
[/php]
Une fois installer, passons a la configuration
[php]
nano /etc/fail2ban/jail.local
[/php]
Voici comment ceci se présente
[php]
#Liste des adresses IP de confiance à ignorer par fail2ban
ignoreip = 127.0.0.1
#Temps de ban en secondes
bantime = 3600
#Nombre d'essais autorisés pour une connexion avant d'être banni
maxretry = 3
[/php]
Oubliez pas de modifier le port de ssh a la ligne
[php]
enabled = true
port = 2222
[/php]
Je vous laisse modifier ceci à votre sauce.
C'est tout pour aujourd'hui, j'essayerais de mettre à jour et ajouter d'option pour sécuriser votre machine ..
Cordialement
PS: Veuillez m'excuser pour les fautes d'orthographe ou de grammaire qui peut être présent
PS2 : Tout ceci a été appris sur internet, je n'ai jamais eu de cour dans ceci j'ai tout appris moi-même, s'il y a des erreurs merci de m'en faire part
