Je considère que générer une clé de 2048 bits est le minimum vu la puissance de calcul des ordinateurs actuels. Mais si vous avez du temps OU une machine très performante, je vous invite à faire une clé de 4096 bits à la place.

Renouvellement des certificats

Cette partie concerne encore une fois uniquement les certificats Let’s Encrypt.

Testez que la regénération des certificats est bien fonctionnelle à l’aide de la commande :

certbot renew --dry-run

Si tout s’est bien passé, vous pouvez continuer en modifiant le cron certbot accessible à /etc/cron.d/certbot. Par défaut vous trouverez une ligne telle que :

0 */12 * * * root test -x /usr/bin/certbot -a \! -d /run/systemd/system && perl -e 'sleep int(rand(3600))' && certbot -q renew

Il va falloir ajouter des hooks après “renew” afin de redémarrer nginx si une regénération des certificats a lieu. A savoir que Certbot ne renouvellera pas les certificats s’il ne sont pas à moins de 30 jours de leur date d’expiration. Completez donc la commande certbot existante de la manière suivante :

certbot -q renew --pre-hook "service nginx stop" --post-hook "service nginx start"

Utilisation

Nous allons dans cette partie modifier légerement la configuration de notre reverse proxy NGINX afin de lui faire utiliser nos certificats.

Editez le fichier /etc/nginx/nginx.conf et modifiez les éléments suivants :

Décommentez toute la configuration de SSL :

ssl_certificate /path_to/fullchain.pem;

ssl_certificate_key /path_to/privkey.pem;

ssl_protocols TLSv1 TLSv1.1 TLSv1.2; # Dropping SSLv3, ref: POODLE

ssl_prefer_server_ciphers on;

ssl_dhparam /path_to/dhparams.pem;

Et remplacez path_to par le chemin d’accès vers vos certifs. Pour Let’s Encrypt c’est très probablement dans /etc/letsencrypt/live/domaine.fr.

Si vous vous demandez pourquoi SSLv3 doit être désactivé, rendez-vous ici (lecture en anglais).

Décommentez ensuite les choses suivantes :

server {

listen 80;

server_name domaine.fr *.domaine.fr;

return 301 https://$host$request_uri;

}

Ceci permet de forcer le passage de http à https à tous les utilisateurs.

Pour finir, dans le bloc server qui se charge de faire la redirection vers 192.168.1.2, utilisez le port 443 au lieu du port 80 et activez SSL :

listen 443;

ssl on;

#listen 80;

Vous pouvez maintenant redémarrer NGINX, tout devrait fonctionner :

service nginx restart

Installation et configuration de la base de données

Préparation

Commencez par rejoindre le LXC de votre utilisateur bdd et redéfinissez le PATH comme vu précédement.

Installez en suite MariaDB (ou autre SGBD) :

apt install mariadb-server mariadb-client

Lancez ensuite la commande suivante :

mysql_secure_installation

Définissez un mot de passe pour le compte root de la base de données et dites oui (Y) tout au long du script.

Création

Nous allons commencer par nous connecter en local au SGBD à l’aide de la commande suivante :

mysql -u root

Une fois connecté, nous allons créer une base de données qui ne sera utilisée que pour le service web correspondant, à savoir : le forum. Lancez donc la commande suivante afin de créer cette base de données :

MariaDB [(none)]> CREATE DATABASE mybb_db;

Query OK, 1 row affected (0.00 sec)

Créez ensuite un utilisateur :

CREATE USER 'mybb_db'@'192.168.1.2' IDENTIFIED BY 'password';

Comme vous pouvez le constater, on a créé un utilisateur nommé mybb_db. Cet utilisateur sera en mesure d’être utilisé uniquement depuis l’adresse IP 192.168.1.2 qui est en fait l’adresse IP du forum_container.

Nous devons ensuite donner les droits à cet utilisateur pour qu’il puisse utiliser la base de données précédement créée :

GRANT ALL PRIVILEGES ON mybb_db.* to 'mybb_db'@'192.168.1.2';

Afin d’autoriser les connexions distantes (au sein du réseau local) au SGBD, modifiez le fichier /etc/mysql/mariadb.conf.d/50-server.cnf et plus précisément :

bind-address = 192.168.1.3

Redémarrez mariadb :

systemctl restart mariadb

Voilà qui est terminé pour la création de la base de données. Il est très fortement recommandé de bien cloisonner les différents utilisateurs et les accès qui leurs sont accordés sur la bdd afin d’éviter qu’un service qui a été piraté soit en mesure d’altérer la base de données d’un autre service.

Installation et configuration du serveur web

Préparation

Dans ce chapitre nous allons installer NGINX comme serveur Web. De plus, le CMS que je vais utiliser (MyBB) necessite PHP, je vais donc me focaliser dans cet article sur l’utilisation de PHP (en version 7) avec NGINX.

Commencez par vous connecter à l’utilisateur forum et à rejoindre le container.

Executez la commande suivante :

apt install nginx php-fpm php-mysql wget unzip

Etant donné que chacun de nos containers n’est utilisé que pour un seul service, on ne va pas se prendre la tête à créer de nouveaux fichiers et bien séparer les configs. Non, on va plutot modifier le fichier de config par défaut, ce sera LE fichier de config du serveur. Ce fichier se trouve en /etc/nginx/sites-available/default

En voici un exemple de configuration que vous pouvez reprendre :

server {

listen 80 default_server;

listen [::]:80 default_server;

root /var/www/html;

index index.php;

server_name www.domaine.fr domaine.fr forum.domaine.fr;

location / {

try_files $uri $uri/ /index.php?$args;

}

location = /favicon.ico {

log_not_found off;

access_log off;

}

location = /robots.txt {

error_page 404 /404.html;

location ~ \.php$ {

try_files $uri =404;

fastcgi_pass unix:/var/run/php/php7.0-fpm.sock;

fastcgi_index index.php;

fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;

include fastcgi_params;

fastcgi_param REMOTE_ADDR $http_x_real_ip; # Permet d'utiliser la véritable IP du visiteur et non pas celle du reverse proxy

}

Il faut maintenant redémarrer nginx afin d’appliquer les changements de configuration :

systemctl restart nginx

Installation d’un CMS

Pour ma part, je vais utiliser myBB qui est un CMS permettant de créer un forum simplement.

Téléchargez l’archive de ce que vous voulez installer, décompressez là et mettez les bons fichiers à la racine de votre serveur web qui est /var/www/html :

cd /tmp && wget https://resources.mybb.com/downloads/mybb_1812.zip

unzip mybb_1812.zip

mv Upload/* /var/www/html/

Vous utilisez très probablement le compte root du LXC, il est donc indispensable de redéfinir le propriétaire des fichiers dans le dossier html/ afin que nginx puisse les utiliser sans soucis :

chown -R www-data:www-data /var/www/html/

www-data étant l’utilisateur par défaut utilisé par nginx.

On peut maintenant se rendre sur notre site afin de lancer l’installation. Je vous épargne les détails de l’installation car ca n’a rien d’exceptionnel et ca n’est pas le sujet principal de cet article.

Je tiens tout de même à vous montrer la configuration de la connexion à la base de donnée :

Comme vous pouvez le constater on rentre l’adresse du LXC utilisé pour notre base de données.

Conclusion

Bravo si vous êtes arrivés au bout de cet article. Comme moi, cela a dû vous prendre un bon bout de temps. Vous avez maintenant une base propre et sécurisée grace à l’isolation que nous fournit LXC. Si vous avez des critiques, remarques, suggestions sur l’article, n’hesitez pas à poster un commentaire ci-dessous.