Laboratoire - Semaine 3 - Cadenas et webmestres

Mission 1 : vérifier les prérequis

Le domaine résout vers votre serveur : dig +short tonsite.com
Chaque site a son vhost dans /etc/apache2/sites-available/ avec ServerName (et ServerAlias pour www).
Les sites répondent en HTTP dans le navigateur.

Mission 2 : installer certbot

prenom@serveur:~$ sudo apt update prenom@serveur:~$ sudo apt install certbot python3-certbot-apache

Si ufw est actif, assurez le passage du HTTPS :

prenom@serveur:~$ sudo ufw allow 'Apache Full' prenom@serveur:~$ sudo ufw delete allow 'Apache'

Mission 3 : obtenir le certificat

prenom@serveur:~$ sudo certbot --apache

Email : le vôtre. Terms : Agree. Partage EFF : N.
Which names : tous les numéros (ou laisser vide).
Redirect : 2 - tout le trafic HTTP devient HTTPS.

Ouvrez https://tonsite.com : le cadenas est là. Prenez une seconde pour l'admirer, vous l'avez mérité.

Mission 4 : vérifier le renouvellement automatique

prenom@serveur:~$ sudo certbot renew --dry-run prenom@serveur:~$ sudo certbot certificates

Le dry-run réussit ? Vos certificats se renouvelleront tout seuls, pour toujours.

Mission 5 : créer un webmestre

Un utilisateur par site, nommé comme le site :

prenom@serveur:~$ sudo useradd wiki-tonsite-com prenom@serveur:~$ sudo passwd wiki-tonsite-com prenom@serveur:~$ sudo chown -R wiki-tonsite-com:www-data /var/www/wiki.tonsite.com prenom@serveur:~$ ls -l /var/www # valider le proprietaire

Testez le transfert SFTP (port 22) avec FileZilla, WinSCP ou Dolphin : le webmestre téléverse un fichier dans SON site.

Mission 6 : retirer le shell au webmestre

prenom@serveur:~$ sudo jed /usr/local/bin/sftponly

#!/bin/bash if [[ "$2" = *sftp-server ]] then exec /bin/bash "$@" else echo "'$LOGNAME' peut seulement utiliser sftp." exit 1 fi

prenom@serveur:~$ sudo chmod +x /usr/local/bin/sftponly prenom@serveur:~$ sudo usermod --shell /usr/local/bin/sftponly wiki-tonsite-com prenom@serveur:~$ sudo service ssh restart

Vérifiez les deux sens :

ssh wiki-tonsite-com@ip.du.serveur : REFUSÉ (le message sftp s'affiche).
La connexion SFTP : FONCTIONNE toujours.

Le webmestre a des fichiers mais pas de commandes : exactement ce qu'on voulait.

Module 1 complété ! Serveur sécurisé, pile LAMP, domaine, VHOST, HTTPS et webmestres : vous venez de monter un hébergement web professionnel de A à Z. C'est tout ce qu'il faut pour livrer le Projet Serveur Web !

Laboratoire : cadenas et webmestres