Séparer les accès web
J’ai séparé l’extranet de l’interface d’administration dans les VirtualHosts Apache, par nom, interface et port. Pour l’extranet, j’ai prévu une redirection de HTTP sur 80 vers HTTPS sur 443 ; pour l’administration, du port 5501 vers 5502. J’ai défini les répertoires de contenu, les journaux d’accès et les paramètres de certificat pour chaque publication. Dans evasive.conf, j’ai fixé un seuil de deux requêtes à une même page ou cinquante au site dans une seconde, avec un blocage de dix secondes.
Ordonner les règles réseau
J’ai préparé une politique Netfilter restrictive avec DROP par défaut en entrée et en transit, et la sortie autorisée. Le filtrage FTP passe par f2b-vsftpd avant l’acceptation des connexions RELATED,ESTABLISHED. J’ai ensuite ouvert 80/443 sur l’interface de l’extranet et réservé l’autre interface à SSH, FTP et aux deux ports d’administration. Dans l’état exporté, la chaîne Fail2ban ne contient qu’un retour à la chaîne appelante ; je n’y ai pas de bannissement dynamique enregistré.
Configurer FTP et Fail2ban
Dans vsftpd, j’ai désactivé l’accès anonyme, autorisé les comptes locaux et l’écriture, puis activé TLS avec chiffrement imposé à la connexion. J’ai configuré la jail Fail2ban vsftpd pour surveiller le journal du service et prévoir un bannissement de 300 secondes après trois échecs. Ma configuration FTP reste toutefois à durcir : elle n’impose pas TLS au canal de données et ne confine pas tous les comptes locaux avec chroot_local_user. Les options SSLv2 et SSLv3 sont aussi activées dans le fichier ; leur effet réel demanderait un contrôle avec la version de vsftpd utilisée et un essai de négociation.
Les points que je dois reprendre
Dans mon VirtualHost extranet, le bloc Directory vise un chemin différent du DocumentRoot. Je dois aligner ces chemins avant d’attribuer les options du bloc au répertoire effectivement servi. La validation demanderait ensuite des essais de certificat, de filtrage depuis chaque interface, de déclenchement de Fail2ban et de blocage par mod_evasive. Je présente ici les paramètres que j’ai préparés et les points à corriger ; ces essais ne sont pas consignés dans mon compte rendu.