Installation de Yacs Sous Linux Debian

Guide d'installation
de yacs sur
Linux Debian 4.0
(Etch)
Version du 16 Février 2009

Table des matières
1 Introduction......................................................................................................................................5
1.1 Les caractéristiques techniques de l'architecture cible.............................................................5
1.2 De quoi avez-vous besoin ?......................................................................................................6
1.3 Commande de serveur virtuel privé (RPS) chez OVH.............................................................6
1.4 Installation de base de Linux Debian (Etch).............................................................................7
1.5 Installation d'appliance VMware Linux Debian (Etch)............................................................8
2 Fiches de configuration....................................................................................................................9
2.1 Paramètres du système..............................................................................................................9
2.2 Paramètres de site virtuel........................................................................................................10
3 Préparation du système...................................................................................................................11
3.1 Connexion et mise à jour du logiciel......................................................................................11
3.2 Sécuriser l'accès SSH..............................................................................................................11
3.3 Régler l'heure..........................................................................................................................13
3.4 Installer Apache et PHP..........................................................................................................13
3.5 Optimiser la configuration d'Apache......................................................................................14
3.6 Préparer un premier serveur virtuel........................................................................................15
3.7 Ajouter l'accès HTTPS...........................................................................................................17
3.8 Ajouter les extensions PHP.....................................................................................................19
3.9 Optimiser la configuration de PHP.........................................................................................19
3.10 Installer suPHP.....................................................................................................................20
3.11 Installer MySQL...................................................................................................................22
3.12 Installer phpmyadmin...........................................................................................................23
3.13 Installer proftpd.....................................................................................................................24
3.14 Sécuriser les échanges FTP...................................................................................................25
3.15 Installer Postfix.....................................................................................................................26
3.16 Préparer les sauvegardes automatiques.................................................................................26
3.17 Quelques vérifications finales...............................................................................................27
4 Installation d'un site virtuel............................................................................................................28

4.1 Gestion du nom de domaine...................................................................................................28
4.2 Ajout d'un utilisateur...............................................................................................................28
4.3 Installer le site virtuel.............................................................................................................28
4.4 Créer un site virtuel sécurisé...................................................................................................30
4.5 Créer une base de données......................................................................................................31
4.6 Télécharger yacs.....................................................................................................................32
4.7 Lancer l'assistant d'installation de yacs...................................................................................32
4.8 Optimiser la configuration de yacs.........................................................................................33
4.9 Installer les traitement d'arrière-plan......................................................................................33
4.10 Gérer les logs........................................................................................................................34
4.11 Sauvegarder le serveur automatiquement.............................................................................34
4.12 Forcer les accès sécurisés.....................................................................................................36
© 2009 Bernard Paques 2
Que trouverez-vous dans ce guide ?
Ce guide sera utile aux personnes devant installer un serveur pour une ou plusieurs communautés
yacs. Il est conçu pour optimiser les activités de l'ingénieur système ou du webmestre qui met en
place une nouvelle machine, tant dans l'ordonnancement des tâches que dans leur contenu.
Comme vous le découvrirez dans ce guide, il n'est pas besoin d'être un expert Linux pour installer
une machine performante. Suivez les instructions fournies pour construire, par vous-même, le
serveur dont vous avez besoin.
Une approche progressive et structurée

Ce guide est construit de façon linéaire, avec plusieurs parties correspondant aux grandes étapes de
la construction d'un système web.
Section Description
Introduction - les caractéristiques techniques de l'architecture cible

- les pré-requis
- achat ou location de serveur
Fiches de configuration - capture des paramètres du système

- capture des paramètres de serveur virtuel
Préparation du système - mise à jour de Linux Debian

- installation et sécurisation de tous les composants logiciels
- tests progressifs de validation
Ajout d'un serveur virtuel - création d'un compte d'accès FTP

- création d'un serveur virtuel Apache
- création et configuration d'une instance de yacs
- création de la base de données associée
- gestion des traitements d'arrière-plan
- sécurisation des accès au serveur
Conventions
Il faut se rappeler que le texte mis en gras dans les listings est générique, et doit généralement être
remplacé par une valeur spécifique à votre installation. Par exemple :
mkdir www.domaine.fr

A propos de l'auteur
Bernard Paques est le créateur initial du système yacs, l'architecte du logiciel, et son principal
développeur. Il est aussi webmestre de plusieurs serveurs, tous construits avec yacs, sur plate-forme
Linux Debian. En véritable praticien des plate-forme web dynamiques, il a formalisé son expérience
dans ce guide, ensemble de bonnes pratiques développées sur le terrain à travers de multiples
projets.
Pour en savoir plus sur l'auteur : http://www.linkedin.com/in/webnetworker
Remerciements
Ce document n'aurait pas vu le jour sans la communauté yacsienne. Merci aux muses, aux
relecteurs, et à tous ceux qui ont pris un peu de leur temps pour améliorer ce guide.
Pour rejoindre la communauté : http://www.yacs.fr
Copyright et licence d'utilisation

Copyright © 2009 Bernard Paques
Ce guide est distribué selon les termes de la licence Creative Commons by-nc-sa 3.0. En
conséquence, vous êtes autorisé à copier, modifier, et distribuer publiquement ce document, aux
conditions suivantes :
● Attribution – Vous devez reconnaître le travail de l'auteur, en préservant les marques de

copyright placées dans le document.
● Non-commercial – Vous ne pouvez pas valoriser ce travail à travers une activité

commerciale sans l'autorisation de l'auteur.
● Partage similaire – Si vous modifiez ou réutilisez ce travail, vous pouvez distribuer le

document obtenu, mais seulement sous la même licence ou sous une licence similaire.

1 Introduction
1.1 Les caractéristiques techniques de l'architecture cible

A l'issue des opérations décrites dans ce guide, vous obtiendrez un système web performant,
évolutif, et sécurisé, tirant parti des meilleurs logiciels libres du moment :
● L'architecture s'appuie sur des briques de logiciel libre stables et récentes : Apache, PHP,
MySQL, Proftpd, Postfix. Ce guide fournit des explications pour installer et configurer
chacun de ces éléments.
● Plusieurs serveurs web virtuels peuvent être installés sur la même machine. Chaque serveur
web est propulsé par une instance yacs distincte, et dispose d'une base de données
indépendante.
● La configuration du système est optimisée pour tirer parti des fonctions avancées de yacs,
comme par exemple l'URL rewriting, le cache par expiration, ou encore le module Ming.
● Chaque serveur web virtuel dispose d'un accès normal par http: et d'un accès sécurisé,
indépendant, par https:. La sécurisation ne demande pas de rajouter d'adresse IP virtuelle,
nous avons simplement remplacé le module SSL par le module GNUTLS, plus puissant.
● Un compte FTP/TLS est créé pour chaque serveur virtuel, et permet l'accès distant par un
administrateur du serveur. Cet accès est sécurisé par chiffrement TLS, et seuls les fichiers du
serveur virtuel sont accessibles (chroot sur l'espace virtuel).
● Apache met en oeuvre suPHP pour éviter les problèmes de permission sur les fichiers
manipulés séparément par Apache et FTP, et pour améliorer le cloisonnement entre serveurs
virtuels.
● Les traitements d'arrière-plan sont délégués à cron, ce qui allège d'autant le travail de yacs,
et améliore les performances vues des internautes.
● Les fichiers de log de yacs sont gérés automatiquement, pour éviter l'encombrement
progressif des espaces disques.
● Une image est réalisée chaque jour avec l'ensemble du contenu de chaque serveur virtuel
(scripts, paramètres, images, fichiers et base de données) pour faciliter les sauvegardes à
travers le réseau.
● L'installation est sécurisée par conception, pour réduire les risques d'attaque par des tiers.

1.2 De quoi avez-vous besoin ?
Un serveur web propulsé par yacs est, avant tout, un ordinateur connecté à Internet, ou au réseau
privé d'une entreprise. Pour construire ce guide nous avons considéré trois cas différents :
● commande de serveur virtuel privé (RPS) chez OVH – après paiement de votre réservation,
l'hébergeur vous mettra à disposition du matériel (carte processeur, mémoire, interface
réseau) dédié à votre seul usage, l'espace disque étant distribué sur des baies de disques
partagées.
● installation sur un PC de Linux Debian à partir du CD-ROM de base – la procédure marche

très bien sur un vieil ordinateur recyclé, à condition qu'il soit correctement relié au réseau
pour achever l'installation.
● mise en oeuvre d'une appliance VMWare de Linux Debian Etch – pour les professionnels
des centres de données qui souhaitent tirer le maximum des techniques de virtualisation.
A chaque fois, nous sommes parti d'un système d'exploitation « brut de décoffrage », mais comme
vous allez le voir en parcourant cette documentation, Linux Debian est finalement assez simple à
mettre en oeuvre. Surtout, le système de gestion des paquets, et la solidité du noyau, en font un
candidat idéal pour des serveurs professionnels.
Pour ce guide d'installation dédié aux services web propulsé par yacs nous n'avons pas tenu compte
des services de nommage (DNS) ni des services de messagerie électronique. Dans le cas d'un
serveur virtuel, ces services seront probablement fournis par l'hébergeur sur sa propre infrastructure.
Pour les autres cas, vous ferez appel à des ingénieurs système pour vous aider. Il est parfaitement
possible de compléter l'installation décrite ici pour obtenir un serveur « tout-en-un », avec DNS,
SMTP, POP3, etc. En fait, Debian fournit beaucoup de liberté, mais tout dépend de vos
compétences et de votre expérience.
Avant de passer au processus d'installation général, prenons quelques instants pour présenter les
différents cas d'obtention d'une machine Linux Debian 4.0.
1.3 Commande de serveur virtuel privé (RPS) chez OVH

Je suis fidèle à OVH depuis plusieurs années, et le fait qu'il soit devenu l'un des hébergeurs leader
en Europe, tout en maintenant une qualité de service et une flexibilité de l'offre tout à fait
remarquables y est pour beaucoup.
Le site d'OVH : http://www.ovh.com/
Ce guide s'appuie sur l'installation concrète d'un serveur virtuel privé de type RPS (pour « Real
Private Server »), mais il ne devrait pas y avoir beaucoup de différences pour d'autres types de
serveurs privés. Et si vous êtes hébergé chez un autre fournisseur, ce guide devrait rester pertinent
pour l'essentiel.
Pendant l'installation de serveur RPS chez OVH, choisir l'option Distribution de base, puis

sélectionner Système d'exploitation Linux Debian 4.0 (Etch). Le choix de la langue est affaire de
goût, mais par expérience j'ai choisi l'anglais.
Dans le courrier électronique envoyé par l'hébergeur vous trouverez le nom de la machine, son
adresse réseau, ainsi que le mot de passe du compte root.
1.4 Installation de base de Linux Debian (Etch)

Pour cette installation, nous avons téléchargé l'image minimum (NetInstall), qui a été gravée ensuite
sur CD-ROM, et insérée dans le PC au démarrage.
Adresse de l'image téléchargeable : http://www.debian.org/CD/netinst/
La documentation qui suit a été préparée à partir de cette installation minimale, qui effectue une
bonne partie des opérations à travers le réseau Internet, avec les options de tasksel décochées.
Par défaut la machine utilise le protocole DHCP pour obtenir une adresse IP de connexion au
réseau.
Si vous avez besoin de positionner une adresse statique, vous pouvez le faire comme suit :
nano /etc/network/interfaces
Vous indiquerez dans le fichier l'adresse statique, le masque de sous-réseau, ainsi que les adresses
du routeur, et des serveurs DNS, en vous inspirant du modèle suivant :
auto eth0
iface eth0 inet static
address 192.168.3.90
gateway 192.168.3.1
netmask 255.255.255.0
Enregistrer les modifications et quitter l'éditeur.
Pour indiquer les serveurs DNS à utiliser, c'est dans le fichier /etc/resolv.conf que ça se passe :
nano /etc/resolv.conf
Plusieurs serveurs peuvent être listés, comme dans l'exemple suivant :
nameserver 206.12.23.13
nameserver 206.12.24.13

Enregistrer les modifications et quitter l'éditeur. Relancer complètement le système pour prendre en
compte les modifications :
reboot
En fin de parcours, vous pourrez avoir à compléter l'installation comme suit, pour permettre l'accès
distant à la machine:
apt-get install ssh
1.5 Installation d'appliance VMware Linux Debian (Etch)

Ce guide s'applique aussi aux installations de serveurs à partir de l'image standard préparé pour
l'hyperviseur VMware.
Adresse d'image virtuelle VMware : http://www.visoracle.com/download/debian/
Par défaut, le mot de passe de root est 'root' (sans les apostrophes). La première chose à faire est
donc, bien entendu, de changer ce mot de passe.
passwd
Ensuite, vous pourrez avoir à configurer le réseau, et ajouter l'accès SSH, comme expliqué au
chapitre précédent.

2 Fiches de configuration
Imprimez les tableaux suivants pour mémoriser, pendant l'installation, les paramètres dont vous
pourrez avoir besoin par la suite pour les besoins de gestion.
2.1 Paramètres du système

Paramètre Valeur Notes
Nom de machine Fourni par la commande hostname
Adresse de réseau Regarder l'attribut inet addr de la

commande ifconfig
Exemple : 123.123.123.123
Masque de réseau Regarder l'attribut Mask de la commande

ifconfig
Adresse de routeur Regarder la colonne Gateway de la

commande route
Adresses des serveurs Les lignes nameserver de la commande

DNS cat /etc/resolv.conf
Mot de passe root Modifiable par la commande

passwd
Mot de passe remote Voir chapitre 3.2
Modifiable par la commande

passwd remote
Mot de passe snapshot Voir chapitre 3.16
Modifiable par la commande

passwd snapshot
Mot de passe root pour Voir chapitre 3.11

MySQL
Adresse de courrier Voir chapitre 3.6

électronique
Par défaut : webmaster@localhost

Serveur d'envoi de
messages
2.2 Paramètres de site virtuel

Nom de serveur Exemple : www.domaine.fr
Adresse de contact Voir chapitre 4.3
Exemple : contact@domaine.fr
Compte associé Exemple : domaine
Mot de passe pour FTP Modifiable par la commande

pour ce compte passwd domaine
Mot de passe pour Voir chapitre 4.5

MySQL pour ce compte
Nom de la base de Dérivé du nom de serveur, en remplaçant les

données points par des soulignements.
Exemple : www_domaine_fr
Serveur d'envoi de Si différent du serveur configuré par défaut

messages

3 Préparation du système
A ce stade, vous disposez d'un ordinateur doté de Linux Debian 4.0 (Etch) et nous allons, dans cette
section, ajouter tous les composants logiciels pour en faire un véritable serveur web performant et
sécurisé.
3.1 Connexion et mise à jour du logiciel

Pour se connecter, il faut un logiciel qui gère l'écran sur votre poste de travail, et qui mette en
oeuvre le protocole de communication SSH avec le serveur. PuTTY fait ça très bien pour les
machines sous Windows. Sur les Mac, il suffit d'activer le Terminal, et de taper la commande de
connexion ssh comme suit, en remplaçant nom_du_serveur par le nom réel ou, à défaut, par
l'adresse IP de la machine cible :
ssh root@nom_du_serveur
Commençons, par précaution, par mettre à jour le référentiel des paquets Debian, ainsi que les
paquets déjà installés :
apt-get update
apt-get upgrade
Suivant le cas, ces opérations peuvent être quasiment instantanées, ou bien requérir quelques
minutes d'échanges intensifs sur le réseau et d'écriture sur le disque dur.
Profitons-en également pour installer openssl, qui servira plusieurs fois pendant l'installation :
apt-get install openssl
3.2 Sécuriser l'accès SSH

Cette sécurité empêche les accès directs à la machine, ainsi que les transferts de fichiers par SFTP,
sauf pour un ou deux comptes réservés à cet usage. Les autres usagers du serveur se contenteront
d'un accès par les formulaires de yacs, ou par transfert de fichier FTPS, comme expliqué plus loin
dans ce document.
La procédure mise en oeuvre ici pourra sembler simpliste aux experts de SSH et du chroot. En tout
cas, elle a le mérite d'être efficace et facile à mettre en oeuvre. Le but est :
– de créer un compte d'usager remote pour se connecter en SSH,
– d'interdire le login sur le compte root pour éviter les attaques directes sur ce compte,
– d'interdire les accès SSH, sauf pour remote et pour root.

Peut-être aurez-vous créé le compte remote pendant l'installation de Linux Debian, si vous êtes
parti du CD-ROM. Sinon, nous allons le faire maintenant, en prenant le soin de choisir un mot de
passe solide :
adduser remote
Passons ensuite au fichier de configuration SSH :
nano /etc/ssh/sshd_config
Ajouter une ligne pour être sûr des comptes autorisés à utiliser SSH :
AllowUsers remote root
Bloquer l'authentification directe du compte root :
PermitRootLogin no
En profiter pour ajouter un réglage paranoïaque :
X11Forwarding no
Relancer le démon ssh pour prendre la modification en cours
/etc/init.d/ssh restart
Après la modification, il faudra se connecter en deux temps pour être root en SSH. S'authentifier
tout d'abord comme remote, puis taper la commande su et indiquer le mot de passe de root pour
avoir tous les pouvoirs.
C'est fastidieux, certes, mais la sécurité est à ce prix. En réalité, en dehors des phases d'installation
et de configuration, les besoins d'accès en tant que root sont relativement rares. Par contre, les
risques d'attaque par des tiers sont permanents.
Penser aussi à la commande sudo pour des besoins ponctuels de pouvoirs supplémentaires. Vous
pouvez faire beaucoup de choses en restant connecté comme remote, et préfixer par sudo les
commandes qui relèvent de root.

3.3 Régler l'heure
Pour ajuster l'heure du serveur, le mieux est d'installer un paquet capable de se synchroniser avec
des serveurs de référence :
apt-get install ntpdate
Synchroniser le serveur en choisissant une référence proche de lui, par exemple en France :
ntpdate fr.pool.ntp.org
Pour les machines qui risquent de dériver dans le temps, vous pouvez planifier de lancer la
commande de temps en temps :
nano /etc/cron.daily/ntpdate
Taper le contenu suivant :
#!/bin/sh
ntpdate fr.pool.ntp.org
Ne pas oublier de rendre le fichier exécutable avec la commande :
chmod a+x /etc/cron.daily/ntpdate
3.4 Installer Apache et PHP

La commande suivante charge les paquets requis pour faire tourner Apache avec PHP :
apt-get install apache2 php5 php5-cgi php5-cli libapache2-mod-php5
Note : PHP est installé à la fois comme module Apache (la configuration de base), en mode CGI
(pour le support de suPHP), et avec l'interface CLI (pour les lignes de commande de cron).
Plusieurs modules d'extension Apache sont intéressants pour une exécution optimisée de yacs. Ils
seront mis en oeuvre automatiquement par l'assistant de construction du fichier .htaccess lors de
la configuration d'une instance de yacs.
Taper la commande suivante pour permettre la ré-écriture des liens, la compression et le cache par
expiration:
a2enmod rewrite deflate expires

3.5 Optimiser la configuration d'Apache
La configuration par défaut fonctionne très bien, et les modifications que nous allons effectuer ont
seulement pour but d'obtenir encore mieux d'Apache, soit en termes de sécurité, soit en termes de
performances.
Modifier le fichier de configuration principal :
nano /etc/apache2/apache2.conf
Par défaut, Apache attend 15 secondes avant de casser les connexions TCP. En pratique, on peut
diviser cette valeur par 5, ce qui accroît d'un même facteur la quantité de connexions disponibles à
un instant donné.
KeepAliveTimeout 3
Purger les processus créés par Apache après qu'ils aient traité un certain nombre de requêtes :
MaxRequestsPerChild 500
Minimiser l'exposition du service web aux pirates éventuels en rajoutant les directives qui suivent
dans le fichier ouvert ou, alternativement, dans le fichier /etc/apache2/conf.d/security :
ServerTokens Prod
ServerSignature Off
Pour bloquer les attaques potentielles de type « déni de service », nous allons ensuite modifier le
fichier de configuration protocolaire :
nano /etc/apache2/httpd.conf
Interdire les transactions de mise au point en insérant la ligne suivante :
TraceEnable Off

3.6 Préparer un premier serveur virtuel
Nous prévoyons de mettre en service plusieurs serveurs virtuels partageant la même adresse réseau,
et c'est ce qu'il faut indiquer à Apache.
nano /etc/apache2/ports.conf
Indiquer que les adresses réseau vont être partagées :
NameVirtualHost *:80
Listen 80
<IfModule mod_gnutls.c>
NameVirtualHost *:443
Listen 443
</IfModule>
La deuxième partie du fichier anticipe sur la sécurisation des échanges de données, que nous
aborderons un peu plus tard.
Visiter le répertoire /var/www pour vérifier l'existence du répertoire default :
cd /var/www
ls
Si le répertoire apache2-default existe, le renommer en default comme suit :
mv apache2-default default
Si, en revanche, aucun répertoire n'existe à cet endroit, en créer un pour le serveur virtuel par
défaut, et ajouter une petite page d'index de bienvenue :
mkdir default
echo "It works!" >default/index.html
Regarder la configuration du serveur virtuel par défaut :
nano /etc/apache2/sites-available/default

Le contenu du fichier de configuration pour ce serveur virtuel sera défini comme suit :
<VirtualHost *:80>
ServerAdmin webmaster@localhost
DocumentRoot /var/www/default/
<Directory />
Options FollowSymLinks
AllowOverride None
</Directory>
<Directory /var/www/default>
Options None
AllowOverride None
Order allow,deny
allow from all
</Directory>
ErrorLog /var/log/apache2/error.log
LogLevel warn
CustomLog /var/log/apache2/access.log combined
</VirtualHost>
Ce fichier de configuration est particulièrement dépouillé, pour des raisons de sécurité, et vous
devez supprimer les lignes qu'il pourrait y avoir en plus. Pas de déclenchement de programmes
CGI, ni de liens vers la documentation Apache. On s'en tient au strict nécessaire, c'est plus sûr.
Activer le site virtuel par défaut, puis redémarrer Apache pour prendre en compte toutes les
modifications :
a2ensite default
/etc/init.d/apache2 restart
Dans un navigateur, faire pointer sur l'adresse IP du serveur et vérifier que Apache retourne bien un
petit message en HTML : « It works! ».
En cas de problème, regarder le contenu de la log d'erreur comme suit :
tail /var/log/apache2/error.log

3.7 Ajouter l'accès HTTPS
La méthode d'accès HTTPS est absolument nécessaire pour les sites de commerce électronique, ou
lorsque certaines informations doivent être chiffrées pendant leur transmission. Ceci s'applique au
contenu du serveur, bien sûr, mais aussi à la transmission des mots de passe pendant
l'authentification yacs par exemple.
Cette sécurisation ajoute un peu de complexité à l'installation, pour deux raisons :
– il faut installer un certificat numérique authentifiant le serveur pendant l'établissement des

connexions sécurisées,
– et il faut gérer des serveurs virtuels distingués par leur nom, mais partageant la même adresse de
réseau (IP).
Pour les besoins de l'installation, nous allons créer un certificat auto-signé pour le serveur, en
utilisant l'adresse réseau de la machine à la place de nom_de_serveur ci-dessous :
openssl req -new -x509 -days 3650 -nodes \

-out /etc/ssl/certs/nom_de_serveur.pem \
-keyout /etc/ssl/private/nom_de_serveur.pem
Attention : la commande de génération des clés ci-dessus doit être tapée en une seule ligne, sans les
signes \ qui, ici, représentent une continuité avec la ligne suivante.
Indiquer au moins les deux lettres du pays où se trouve le serveur (FR pour la France) et l'adresse
réseau de la machine comme Common Name (par exemple : 124.12.34.57) pendant la création du
certificat.
Pour le support des serveurs virtuels, nous devons utiliser une option avancée du protocole TLS, et
pour ceci nous remplacerons le module SSL habituel dans Apache par le module GNUTLS, comme
suit :
apt-get install libapache2-mod-gnutls

a2dismod ssl
a2enmod gnutls
Créer un serveur virtuel pour l'accès HTTPS comme suit: :
nano /etc/apache2/sites-available/default-ssl

Attention, cette configuration diffère des modèles habituels basés sur mod_ssl. Ici, nous nous
basons sur les fonctionnalités de mod_gnutls, qui sont plus puissantes :
<VirtualHost *:443>
ServerAdmin webmaster@localhost
DocumentRoot /var/www/default/
GnuTLSEnable on
GnuTLSCertificateFile /etc/ssl/certs/nom_de_serveur.pem
GnuTLSKeyFile /etc/ssl/private/nom_de_serveur.pem
GnuTLSPriorities NORMAL
<Directory />
Options FollowSymLinks
AllowOverride None
</Directory>
<Directory /var/www/default>
Options None
AllowOverride None
Order allow,deny
allow from all
</Directory>
ErrorLog /var/log/apache2/error.log
LogLevel warn
CustomLog /var/log/apache2/access-ssl.log combined
</VirtualHost>
</IfModule>
Activer le nouveau serveur virtuel comme suit :
a2ensite default-ssl
/etc/init.d/apache2 restart
Dans la barre d'adresse du navigateur web, taper « https:// » suivi de l'adresse réseau du serveur. Le
navigateur doit se plaindre du fait que le certificat est auto-signé. Accepter l'exception de sécurité
pour valider l'accès. Normalement, cette opération ne doit être faite qu'une seule fois. Ensuite le
navigateur affiche le message : « It works! ».
En cas de problème, regarder les messages d'erreur dans /var/log/apache2/error.log.
En environnement public, il sera bon d'acheter un certificat signé par une autorité de certification
bien connue, et d'installer le certificat correspondant dans le répertoire /etc/ssl/certs avec les
autres certificats connus sur cette machine. Le fichier de configuration default-ssl sera modifié
pour pointer sur ce certificat en lieu et place de celui que nous avons créé nous-mêmes, et il faudra
redémarrer Apache pour faire prendre en compte le changement. Les internautes pourront alors

naviguer sur le service sécurisé sans recevoir de message d'avertissement du navigateur.
3.8 Ajouter les extensions PHP

Comme nous l'avons fait pour le serveur Apache, nous allons compléter l'environnement
d'exécution PHP avec plusieurs modules utiles à yacs. Pour connaître la liste de tous les paquets
disponibles pour PHP version 5, vous pouvez utiliser la commande suivante :
dkpg -l 'php5-*'
La gestion des paquets de Debian va faire tout le travail de téléchargement et d'installation, une fois
de plus.
Ajouter le module gd pour créer les vignettes des images téléversées :
apt-get install php5-gd
Ajouter le module curl pour se connecter à des machines distantes (intégration RSS) :
apt-get install php5-curl
Ajouter le module ming pour laiser yacs construire, quelques objets Flash dynamiques :
apt-get install php5-ming
Enfin, si vous avez besoin de faire authentifier les usagers par un annuaire d'entreprise, vous pouvez
ajouter le module LDAP comme suit :
apt-get install php5-ldap
3.9 Optimiser la configuration de PHP

Changer le fichier de configuration de php :
nano /etc/php5/apache2/php.ini
Il est important de changer les paramètres décrits dans ce paragraphe, sous peine de limitations
importantes dans le fonctionnement du serveur.
Limiter l'exposition de PHP, c'est plus conforme aux standards à long terme du web :
expose_php = Off

Fournir suffisamment de mémoire à yacs. La valeur par défaut est 16M avec PHP 4, ce qui est
insuffisant, et 128M avec PHP 5, ce qui est plus que satisfaisant.
memory_limit = 128M
Autoriser les gros téléchargements. Par défaut, PHP limite les envois à 2M. Pour déplacer cette
limite à 32M, changer deux paramètres comme suit :
post_max_size = 64M
upload_max_filesize = 32M
Pour un serveur de production, vous pouvez souhaiter mémoriser les erreurs en les envoyant vers un
fichier :
log_errors = On
error_log = /var/log/php5/errors.log
Comme nous utilisons PHP aussi en mode CGI et en ligne de commande (CLI), nous allons
recopier la configuration faite pour Apache, comme suit :
cp /etc/php5/apache2/php.ini /etc/php5/cgi
cp /etc/php5/apache2/php.ini /etc/php5/cli
On pourra alors créer un petit script PHP dans le répertoire du serveur virtuel comme suit :
echo "<?php phpinfo(); ?>" >/var/www/default/test.php
Dans un navigateur, faire pointer sur l'adresse IP du serveur avec le chemin /test.php et vérifier
qu'on obtient effectivement des informations complètes sur le moteur d'exécution PHP, y compris la
présence des modules GD, ming, etc.
3.10 Installer suPHP

suPHP permet d'excuter les scripts PHP sous l'identifiant particulier à chaque serveur virtuel plutôt
que sous le compte générique www-data. Ainsi, yacs pourra écrire dans les répertoires crées par
FTP sans manipulation spéciale, et sans jongler avec les permissions et les propriétaires des fichiers.
apt-get install suphp-common libapache2-mod-suphp
Modifier la configuration de suphp comme suit :
nano /etc/suphp/suphp.conf

Vous devez impérativement changer certaines lignes, comme suit :
loglevel=warn
docroot=/
allow_file_group_writeable=true
allow_file_others_writeable=false
allow_directory_group_writeable=true
allow_directory_others_writeable=false
check_vhost_docroot=false
umask=0022
Activer le module pour être sûr qu'il soit pris en compte par Apache :
a2enmod suphp
Désactiver le module PHP5 pour laisser la main à suPHP sur le traitement des scripts PHP :
a2dismod php5
Modifier la configuration du module suPHP pour être sûr qu'il est pris en compte pour tous les
scripts PHP exécutés lors de requêtes web :
nano /etc/apache2/mods-available/suphp.conf
Mettre en commentaires quelques lignes comme suit :
# <Directory /usr/share>
# suPHP_Engine off
# </Directory>
Arrivés à ce stade, nous devons veiller aux contrôles de sécurité effectués par suPHP. Pour éviter les
erreurs internes, il faut affecter des propriétaires (utilisateur et groupe) qui aient des identifiants
supérieurs ou égaux à 100, donc différents de root.

Taper par exemple :
cd /var/www
chown -R nobody:nogroup default
Dans un navigateur, faire pointer sur l'adresse IP du serveur avec le chemin /test.php et vérifier
qu'on obtient effectivement des informations complètes sur le moteur d'exécution PHP, y compris la
présence des modules GD, etc.
En cas d'erreur, regarder les logs d'erreur d'Apache dans /var/log/apache2 et la log d'erreur de
suPHP dans /var/log/suphp.
On pourra essayer la méthode d'accès https: pour vérifier que PHP fonctionne aussi pour les accès
sécurisés.
3.11 Installer MySQL

Installer MySQL avec les paquets Debian :
apt-get install mysql-server mysql-client php5-mysql
Changer le mot de passe root pour MySQL, en choisissant une chaîne compliquée, et différente de
celle utilisée pour le compte système root. Si cela n'est pas demandé pendant l'installation de
MySQL, compléter manuellement comme dans l'exemple ci-dessous, en remplaçant new-password
par sa vraie valeur :
mysql
mysql> use mysql;
mysql> update user set password=PASSWORD('new-password') where user='root';
mysql> flush privileges;
mysql> exit;
Le fichier de configuration de MySQL est dans /etc/mysql et, pour l'éditer, vous pouvez utiliser la
commande suivante :
nano /etc/mysql/my.cnf
Par défaut, l'indexation du texte réalisée par MySQL se limite aux mots de quatre lettres ou plus.
Pour les usagers, il est plus confortable de changer ce réglage pour prendre en compte aussi les mots
de trois lettres, en ajoutant la ligne suivante :
ft_min_word_len = 3

Redémarrer MySQL pour être sûr de prendre la nouvelle configuration en compte :
/etc/init.d/mysql restart
Note : si vous perdez le mot de passe MySQL du compte root, il existe une procédure pour s'en
sortir, comme indiqué à l'adresse suivante :
http://dev.mysql.com/doc/refman/5.1/en/resetting-permissions.html
3.12 Installer phpmyadmin

Installer l'outil grâce aux paquets Debian :
apt-get install phpmyadmin
Si l'outil d'installation demande avec quelle version d'Apache il doit s'intégrer, sélectionner
apache2. Sinon, réaliser l'opération manuellement comme suit :
cd /etc/apache2/conf.d
ln -s /etc/phpmyadmin/apache.conf phpmyadmin.conf
/etc/init.d/apache2 reload
Nous devons encore changer les propriétaires des fichiers mis en oeuvre par phpmyadmin, pour le
rendre compatible avec suPHP :
chown -R nobody:nogroup /etc/phpmyadmin

chown -R nobody:nogroup /usr/share/phpmyadmin
chown -R nobody:nogroup /var/lib/phpmyadmin
Pour tester la configuration, faire pointer un navigateur sur l'adresse IP du serveur vers le chemin
/phpmyadmin et visualiser l'écran d'authentification de phpmyadmin.
Si vous obtenez un message d'erreur se rapportant à une clé blowfish, tentez de modifier les
permissions du fichier concerné comme suit :
chmod 644 /etc/phpmyadmin/blowfish_secret.inc.php
Pour les autres cas d'erreur éventuels, regarder dans /var/log/apache2 les différents fichiers de
logs.
On pourra aussi vérifier la méthode d'accès https: pour être sûr de disposer d'une méthode
sécurisée de manipulation des données à distance. Quel bonheur de gérer la base de données par
Internet, sans craindre que les échanges soient espionnés par un tiers !

3.13 Installer proftpd
Télécharger le paquet Debian associé, comme suit :
apt-get install proftpd
Sélectionner l'option 'standalone' lorsque le programme d'installation demande de choisir entre

'inetd' ou 'standalone'.
Reprendre la configuration du serveur :
nano /etc/proftpd/proftpd.conf
Vérifier les paramètres suivants :
# résoudre les problèmes d'adressage éventuels

UseIPv6 off
# nom du serveur affiché aux usagers

ServerName "Serveur FTP"
# empecher la recherche de noms

UseReverseDNS off
# empecher la recherche d'identité

IdentLookups off
# chrooter les utilisateurs

DefaultRoot ~
# limiter le nombre d'usagers simultanés

Maxclients 30
# limiter les connexions

MaxClientsPerHost 50
# passer à travers les pare-feu (décommenter la ligne existante)

PassivePorts 49152 65534

3.14 Sécuriser les échanges FTP
L'accès FTP est sécurisé par TLS, pour protéger les mots de passe et les fichiers échangés avec le
serveur. Ce mode de transmission est très efficace, et accepté par la plupart des logiciels FTP dignes
d'intérêt, tel que Filezilla.
La première étape est de créer un certificat et une clé privée pour le serveur, en utilisant le nom réel
de la machine à la place de nom_de_serveur ci-dessous :

-out /etc/ssl/certs/nom_de_serveur.pem \
-keyout /etc/ssl/private/nom_de_serveur.pem
Attention : la commande de génération des clés ci-dessus doit être tapée en une seule ligne, sans les
signes \ qui, ici, représentent une continuité avec la ligne suivante.
Indiquer au moins les deux lettres du pays où se trouve le serveur (FR pour la France) et le nom réel
de la machine comme Common Name (par exemple : ftp.domaine.fr) pendant la création du
certificat.
Note : pour favoriser la ré-utilisation des certificats requis pour TLS d'un serveur virtuel à l'autre,
les certificats sont regroupés dans /etc/ssl/certs et les clés privées dans /etc/ssl/private.
Les fichiers sont nommés d'après les serveur certifiés. Par exemple, le certificat SSL de
ftp.domaine.fr sera placé dans /etc/ssl/certs/ftp.domaine.fr.pem.
Reprendre la configuration pour activer le protocole TLS. Si un fichier /etc/proftpd/tls.conf

existe, le modifier, sinon modifier le fichier principal comme suit :
nano /etc/proftpd/proftpd.conf
Positionner le module TLS comme suit, en remplacant nom_de_serveur par sa valeur réelle :
<IfModule mod_tls.c>
TLSEngine on
TLSLog /var/log/proftpd/tls.log
TLSProtocol SSLv23
TLSRSACertificateFile /etc/ssl/certs/nom_de_serveur.pem
TLSRSACertificateKeyFile /etc/ssl/private/nom_de_serveur.pem
TLSOptions NoCertRequest
TLSVerifyClient off
TLSRequired on
TLSRenegotiate required off
</IfModule>
Avec ces paramètres la machine n'acceptera pas les échanges depuis un client FTP ordinaire.

Relancer le serveur pour prendre en compte les modifications :
/etc/init.d/proftpd restart
Utiliser un client FTP/TLS tel que Filezilla pour valider la configuration. Attention de choisir
l'option d'accès FTP normale, plutôt que l'option « TLS Implicite ». Présenter le nom remote et le
mot de passe associé, puis vérifier que vous pouvez accéder au répertoire distant, et téléverser un
fichier.
En cas de problème de connexion, vérifier que la ligne suivante n'est pas commentée par un #
intempestif dans /etc/proftpd/proftpd.conf, ce qui empêcherait la sécurisation des accès :
Include /etc/proftpd/tls.conf
3.15 Installer Postfix

Postfix est utilisé pour envoyer les messages électroniques par SMTP. Cet outil est nécessaire pour
que yacs puisse adresser les notifications aux membres d'une communauté.
apt-get install postfix
Pendant l'installation, choisir le mode 'Internet Server'. Après l'installation, vérifier l'envoi de
message en ligne de commande, en remplaçant nom@domaine par une adresse valide dans l'exemple
suivant :
echo "Bonjour le monde" | mail nom@domaine
3.16 Préparer les sauvegardes automatiques

La sauvegarde d'un serveur yacs concerne à la fois les fichiers et le contenu de la base de données.
Nous allons mettre en place une stratégie de duplication simple, comme suit :
● Un compte snapshot est créé pour héberger, dans son répertoire, l'ensemble des copies des
serveurs.
● Les fichiers d'un serveur virtuel, et le contenu de la base de données associée, sont archivés
à intervalle réguliers dans un sous-répertoire de /home/snapshot.
La sauvegarde elle-même pourra prendre deux formes au choix :
● Le contenu de /home/snapshot est sychronisé périodiquement vers une machine distincte

par le protocole rsync.

● Ou alors, il est créé une archive unique pour chaque serveur virtuel, et cette archive est
récupérée périodiquement par FTP.
L'une ou l'autre des deux options sera mise en place pendant l'installation d'un serveur virtuel,
comme nous le verrons ultérieurement. Pour l'instant, créons simplement un compte pour la
centralisation des données de sauvegarde, en choisissant un mot de passe bien sécurisé :
adduser snapshot
Vérifions également que le paquet de synchronisation des fichiers est installé :
apt-get install rsync
3.17 Quelques vérifications finales

Pour mieux protéger votre serveur des espions éventuels il convient de supprimer le petit script de
validation de la configuration PHP :
rm /var/www/default/test.php
Pour vérifier que la liste des ports ouverts aux communications extérieures est conforme à notre
attente, et limitée au strict minimum, taper :
netstat –-inet --listening
Si votre machine est ouverte aux requêtes DNS (ports :domain) alors que les adresses de réseau
sont gérées par votre hébergeur, ou par un serveur tiers, vous pouvez sans vergogne désinstaller le
paquet bind9, comme suit :
apt-get remove bind9
A un niveau encore plus bas, taper la commande suivante pour repérer d'éventuelles erreurs de
transmission réseau qui auraient pu se produire pendant l'installation:
ifconfig
Si la commande n'indique aucune erreur, c'est que la machine est saine et que nous pouvons passer à
l'étape suivante, c'est-à-dire l'installation d'un premier serveur virtuel yacs.

4 Installation d'un site virtuel
Dans cette section nous allons ajouter un serveur virtuel à l'environnement préparé précédemment.
La même séquence est, en fait, utilisée pour chaque nouveau serveur virtuel.
Pour chaque nouveau domaine installé sur la machine :
– un compte utilisateur sera créé pour l'accès FTP à distance (et aussi pour exécuter les scripts qui
constituent yacs), nous le désignerons par le raccourci domaine dans cette section
– un serveur virtuel sera créé, et géré indépendamment des autres (fichiers de configuration,
répertoire, base de données), nous le désignerons par www.domaine.fr dans les exemples
4.1 Gestion du nom de domaine

Le DNS n'est pas traité dans le cadre du présent guide. Pour la gestion de noms publics, vous
utiliserez vraisemblablement la console fournie par votre fournisseur de services (OVH, ...).
Le principe est simple : vous devez associer chaque site virtuel à l'adresse réseau de la machine que
nous sommes en train d'installer.
4.2 Ajout d'un utilisateur

Ce compte sera celui utilisé pour exécuter les scripts de yacs, et aussi pour accéder aux fichiers à
distance. Remplacer www.domaine.fr et domaine par leurs vraies valeurs.
useradd -d /var/www/www.domaine.fr domaine
Le mot de passe est celui qui doit être utilisé pour se connecter par FTP/TLS.
4.3 Installer le site virtuel

Créer le répertoire du site virtuel, en reprenant le nom complet du site :
cd /var/www
mkdir www.domaine.fr
chown domaine:domaine www.domaine.fr
cd www.domaine.fr
Construire un script PHP minimum comme suit :
echo '<?php system("id"); ?>' >/var/www/www.domaine.fr/test.php

Indiquer le nouveau site à Apache :
nano /etc/apache2/sites-available/www.domaine.fr
S'inspirer du texte suivant pour configurer le site virtuel, en remplaçant www.domaine.fr et les
autres paramètres par leurs vraies valeurs :
<VirtualHost *:80>
ServerName www.domaine.fr
ServerAlias domaine.fr
ServerAdmin contact@domaine.fr
DocumentRoot /var/www/www.domaine.fr
<Directory />
Options None
AllowOverride None
</Directory>
<Directory /var/www/www.domaine.fr>
Options FollowSymlinks
AllowOverride FileInfo Indexes Options
Order allow,deny
allow from all
</Directory>
ErrorLog /var/log/apache2/error-www.domaine.fr.log
LogLevel warn
CustomLog /var/log/apache2/access-www.domaine.fr.log combined
</VirtualHost>
Activer le site comme suit :
a2ensite www.domaine.fr
Dans un navigateur, faire pointer sur l'adresse ip du serveur vers le script /test.php et vérifier que
PHP est déclenché, en indiquant domaine (ou plutôt, le compte créé pour ce serveur virtuel) comme
compte utilisateur et comme nom de groupe pour le script.

4.4 Créer un site virtuel sécurisé
S'il y a besoin de sécuriser les accès au serveur web par TLS, on pourra ajouter un deuxième fichier
de configuration dérivé du premier, en s'inspirant de l'exemple suivant :
cd /etc/apache2/sites-available
cp www.domaine.fr www.domaine.fr-ssl
nano www.domaine.fr-ssl
Voilà le contenu type du fichier de configuration d'un serveur virtuel :
<VirtualHost *:443>
ServerName www.domaine.fr
ServerAlias domaine.fr
ServerAdmin contact@domaine.fr
GnuTLSEnable on
GnuTLSCertificateFile /etc/ssl/certs/www.domaine.fr.pem
GnuTLSKeyFile /etc/ssl/private/www.domaine.fr.pem
GnuTLSPriorities NORMAL
DocumentRoot /var/www/www.domaine.fr
<Directory />
Options None
AllowOverride None
</Directory>
<Directory /var/www/www.domaine.fr>
Options FollowSymlinks
AllowOverride FileInfo Indexes Options
Order allow,deny
allow from all
</Directory>
ErrorLog /var/log/apache2/error-www.domaine.fr.log
LogLevel warn
CustomLog /var/log/apache2/access-www.domaine.fr-ssl.log combined
</VirtualHost>
</IfModule>

Cette configuration est liée à un certificat que l'on pourra acheter à un prestataire spécialisé ou, pour
des besoins de tests, que l'on pourra fabriquer soi-même, en utilisant le nom virtuel de la machine à
la place de www.domaine.fr ci-dessous :

-out /etc/ssl/certs/www.domaine.fr.pem \
-keyout /etc/ssl/private/www.domaine.fr.pem
Activer le site comme suit :
a2ensite www.domaine.fr-ssl
Dans la barre d'adresse du navigateur web, taper https://www.domaine.fr, en remplaçant

www.domaine.fr par le nom virtuel du serveur. Le navigateur doit se plaindre du fait que le
certificat est auto-signé. Accepter l'exception de sécurité pour valider l'accès. Normalement, cette
opération ne doit être faite qu'une seule fois. Ensuite le navigateur affiche le message : « It
works! ».
En cas de problème, regarder les messages d'erreur comme suit :
tail /var/log/apache2/error-www.domaine.fr.log
En environnement public, il sera bon d'acheter un certificat signé par une autorité de certification
bien connue, et d'installer le certificat correspondant dans le répertoire /etc/ssl/certs avec les
autres. Le fichier de configuration du serveur virtuel sera modifié pour pointer sur ce certificat en
lieu et place de celui que nous avons créé nous-mêmes, et il faudra redémarrer Apache pour faire
prendre en compte le changement. Les internautes pourront alors naviguer sur le service sécurisé
sans recevoir de message d'avertissement du navigateur.
4.5 Créer une base de données

Yacs est capable de créer les tables par lui-même pendant l'installation. A ce stade, nous avons
seulement besoin d'ajouter une base de données, et un compte utilisateur pour y accéder.
Dans l'exemple suivant, remplacez www.domaine.fr, yacs et password par les véritables valeurs. Il
est préférable de choisir une paire unique identifiant - mot de passe pour chaque base de données,
pour des raisons de sécurité.
mysql -u root -p
mysql> create database www_domaine_fr;
mysql> grant all on www_domaine_fr.* to 'domaine'@'localhost' identified by \
'password';
mysql> exit;

4.6 Télécharger yacs
Télécharger la version la plus récente de yacs, et extraire les fichiers de l'archive comme suit. Les
commandes fournies ici ne sont que des exemples, qu'il conviendra d'adapter aux valeurs réelles
(nom de domaine, compte utilisateur, archive yacs, voire serveur de référence).
Se placer dans le répertoire d'installation de yacs :
cd /var/www/www.domaine.fr
Télécharger l'archive directement depuis le serveur de référence, en tapant la commande suivante

sur une seule ligne :
wget http://www.yetanothercommunitysystem.com/file-fetch/148-20090106-yacs-
9.1beta6.tgz
Extraire les fichiers de l'archive :
tar xvf 20090106-yacs-9.1beta6.tgz
Supprimer l'archive devenue inutile :
rm 20090106-yacs-9.1beta6.tgz
Donner les droits d'accès à chacun des fichiers
chown -R domaine:domaine *
4.7 Lancer l'assistant d'installation de yacs

Faire pointer un navigateur vers http://www.domaine.fr/setup.php pour déclencher l'assistant
d'installation, et passer à travers les différentes phases de la configuration :
– tests de l'environnement PHP
– test de l'accès à la base de données, et enregistrement du fichier de configuration système
– recherche des extensions de yacs, et enregistrement du ficher de configuration des extensions
– création des tables de la base de données
– enregistrement du fichier de configuration du rendu visuel

4.8 Optimiser la configuration de yacs
Naviguer vers le Panneau de Contrôle principal, puis cliquer sur l'onglet de configuration pour
optimiser certains paramètres.
Lancer l'assistant de création du fichier .htaccess qui va d'abord évaluer les possibilités réelles du
serveur Apache, puis préparer un fichier adapté à la situation. Le fichier est écrit à la racine du
serveur virtuel, c'est-à-dire :
/var/www/www.domaine.fr/.htaccess
Dans le panneau de configuration système, mettre en oeuvre la ré-écriture d'URL pour tirer parti des
possibilités fournies par Apache, comme indiqué dans le fichier .htaccess.
4.9 Installer les traitement d'arrière-plan

Lors de l'installation du premier serveur virtuel, préparer l'environnement d'exécution comme suit :
cd /etc/cron.d
cp /var/www/www.domaine.fr/tools/yacs_crontab yacs
nano /etc/cron.d/yacs
Editer le fichier pour indiquer l'emplacement exact du script cron.php et le compte utilisateur
correspondant :
09,19,29,39,49,59 * * * * domaine php /var/www/www.domaine.fr/cron.php \

>/dev/null 2>&1
Vérifier, par acquis de conscience, que la commande placée dans le fichier cron est correcte, en
l'exécutant à la main, sans oublier de remplacer www.domaine.fr pas sa vraie valeur : :
php /var/www/www.domaine.fr/cron.php
Dans le navigateur, ouvrir le panneau de configuration système pour signaler à yacs que les
traitements en tâche de fond sont gérés par cron. Attendre dix minutes, et faire afficher les
informations système d'arrière-plan pour vérifier que l'heure des derniers traitements est
incrémentée régulièrement.
Par la suite, il faudra ajouter une ligne dans le fichier /etc/cron.d/yacs pour chaque nouveau
serveur virtuel, sans oublier de changer le compte utilisateur correspondant.

Il est aussi possible de décaler les traitements dans le traitement pour lisser la charge du serveur,
comme dans l'exemple suivant :
08,18,28,38,48,58 * * * * domaine1 php /var/www/www.domaine1.fr/cron.php \

>/dev/null 2>&1
09,19,29,39,49,59 * * * * domaine2 php /var/www/www.domaine2.fr/cron.php \
>/dev/null 2>&1
4.10 Gérer les logs

Yacs enregistre dans un fichier les événements liés à la vie du serveur. Ce fichier doit être purgé de
temps à autre sous peine d'encombrement de l'espace disque.
Pour cela, on pourra ajouter un fichier de configuration à logrotate, l'outil Debian qui gère ce
genre de fonction, en remplaçant www.domaine.fr par sa valeur :
nano /etc/logrotate.d/www.domaine.fr
Les directives suivantes sont explicites, se rapporter à la documentation de logrotate pour plus
d'informations.
/var/www/www.domaine.fr/temporary/*.txt {
rotate 3
monthly
compress
delaycompress
missingok
notifempty
}
Enregistrer les directives et quitter l'éditeur. Le fichier sera pris en compte automatiquement tous les
mois.
4.11 Sauvegarder le serveur automatiquement

Puisque nous avons accès à tous les recoins de la machine, profitons-en pour automatiser la
consolidation des données, et leur transmission à une machine tierce.
Pour la consolidation, nous allons préparer un petit script comme suit :
nano /var/www/www.domaine.fr/tools/snapshot.sh

Bien sûr, il faudra adapter les paramètres donnés en exemple avec les vraies valeurs pour votre site :
#!/bin/sh
# parameters to get database content

DB=www_domaine_fr
USER=domaine
PASSWORD=password
# parameters to get files

NAME=www.domaine.fr
SOURCE=/var/www/$NAME
# parameters to save a snapshot

SNAPSHOT=/home/snapshot
# ensure we have a target directory

mkdir -p $SNAPSHOT/$NAME
# archive all files (scripts, uploaded files, parameters)

rsync -a –-delete $SOURCE $SNAPSHOT
# dump database content

mysqldump -u $USER --password=$PASSWORD --opt $DB >$SNAPSHOT/$NAME/$DB.sql
# if you want to ftp from snapshot account

#tar czf $SNAPSHOT/$NAME.tgz $SNAPSHOT/$NAME >/dev/null 2>&1
# if you prefer to forward modifications to another rsync server

#KEY=/home/domaine/remotehost-rsync-key
#RUSER=remoteuser
#RHOST=remotehost
#RPATH=/remote/dir
#rsync -az -e "ssh -i $KEY" $SNAPSHOT/$NAME $RUSER@$RHOST:$RPATH
Si l'on envisage de récupérer une archive unique par FTP, alors on activera la commande tar en
retirant le caractère # en début de ligne.
Si l'on préfère propager la duplication à un serveur tiers, on activera la commande rsync, en faisant
attention aux paramètres fournis. La configuration des échanges sécurisés par rsync dépasse le
cadre de ce guide, on pourra chercher sur Internet avec les mots-clés 'rsync ssh ssh-keygen'.

Ne pas oublier de rendre le fichier exécutable avec la commande :
chmod a+x /var/www/www.domaine.fr/tools/snapshot.sh
Tester le fonctionnement du script en le lançant en ligne de commande. Aucun message d'erreur ne

doit apparaître :
/var/www/www.domaine/tools/snapshot.sh
L'étape suivante est de lancer le script chaque jour, à 4 heures du matin. Pour cela, nous allons
reprendre le fichier crontab de yacs :
nano /etc/cron.d/yacs
Rajouter une ligne comme suit :
0 4 * * * root nice /var/www/www.domaine.fr/tools/snapshot.sh
Le mot-clé nice est inséré pour réduire la priorité d'exécution de la commande, et donc pour éviter
d'affecter les traitements ordinaires de la machine. Après tout, les sauvegardes doivent rester aussi
invisibles que possible des internautes.
Vérifier le contenu du répertoire /home/snapshot le lendemain, pour s'assurer que la consolidation

des fichiers et de la base de données se sont effectuées correctement.
Si la commande tar a été activée, on pourra automatiser la récupération de l'archive en se

connectant par FTPS sur le compte snapshot, par exemple avec la commande wget ou curl ou
équivalent.
Si c'est rsync qui a été mis en oeuvre, on vérifiera sur la machine cible que le transfert s'est effectué
comme prévu.
4.12 Forcer les accès sécurisés

Dans le cas d'un serveur à protéger entièrement, vous devez vous assurer que toutes les requêtes
sont chiffrées par TLS. Pour cela, activez le panneau de configuration système, et choisissez
l'option de redirection des requêtes non sécurisées.
A partir de cet instant, yacs redirigera poliment toutes les demandes reçues par HTTP vers leurs
homologues HTTPS. Cette opération sera indolore pour la plupart des internautes, et vous n'avez
pas besoin de mentionner https: lorsque vous partagez l'adresse du serveur ou même d'une page
particulière.

Un autre avantage du chiffrement systématique des transmissions est que vous pouvez mettre en
place les cookies d'authentification permanente sans risque qu'ils soient interceptés par des
personnes mal intentionnées. C'est sur le panneau de configuration des utilisateurs, à l'onglet
Authentification. L'identification « longue durée », c'est un réel confort supplémentaire pour les
membres d'une communauté en ligne, parce qu'elle évite de saisir le mot de passe à chaque visite du
site.

Installation de Yacs Sous Linux Debian

Hochgeladen von

Dokumentinformationen

Originaltitel

Copyright

Verfügbare Formate

Dieses Dokument teilen

Dokument teilen oder einbetten

Freigabeoptionen

Stufen Sie dieses Dokument als nützlich ein?

Sind diese Inhalte unangemessen?

Copyright:

Verfügbare Formate

Installation de Yacs Sous Linux Debian

Hochgeladen von

Copyright:

Verfügbare Formate

Guide d'installation

Version du 16 Février 2009

4 Installation d'un site virtuel............................................................................................................28

Une approche progressive et structurée

Introduction - les caractéristiques techniques de l'architecture cible

Fiches de configuration - capture des paramètres du système

Préparation du système - mise à jour de Linux Debian

Ajout d'un serveur virtuel - création d'un compte d'accès FTP

© 2009 Bernard Paques 3

Pour en savoir plus sur l'auteur : http://www.linkedin.com/in/webnetworker

Pour rejoindre la communauté : http://www.yacs.fr

Copyright et licence d'utilisation

● Attribution – Vous devez reconnaître le travail de l'auteur, en préservant les marques de

● Non-commercial – Vous ne pouvez pas valoriser ce travail à travers une activité

● Partage similaire – Si vous modifiez ou réutilisez ce travail, vous pouvez distribuer le

© 2009 Bernard Paques 4

1.1 Les caractéristiques techniques de l'architecture cible

© 2009 Bernard Paques 5

● installation sur un PC de Linux Debian à partir du CD-ROM de base – la procédure marche

1.3 Commande de serveur virtuel privé (RPS) chez OVH

Le site d'OVH : http://www.ovh.com/

© 2009 Bernard Paques 6

1.4 Installation de base de Linux Debian (Etch)

Adresse de l'image téléchargeable : http://www.debian.org/CD/netinst/

Enregistrer les modifications et quitter l'éditeur.

Plusieurs serveurs peuvent être listés, comme dans l'exemple suivant :

© 2009 Bernard Paques 7

apt-get install ssh

1.5 Installation d'appliance VMware Linux Debian (Etch)

Adresse d'image virtuelle VMware : http://www.visoracle.com/download/debian/

© 2009 Bernard Paques 8

2.1 Paramètres du système

Nom de machine Fourni par la commande hostname

Adresse de réseau Regarder l'attribut inet addr de la

Masque de réseau Regarder l'attribut Mask de la commande

Adresse de routeur Regarder la colonne Gateway de la

Adresses des serveurs Les lignes nameserver de la commande

Mot de passe root Modifiable par la commande

Mot de passe remote Voir chapitre 3.2

Modifiable par la commande

Mot de passe snapshot Voir chapitre 3.16

Modifiable par la commande

Mot de passe root pour Voir chapitre 3.11

Adresse de courrier Voir chapitre 3.6

© 2009 Bernard Paques 9

2.2 Paramètres de site virtuel

Nom de serveur Exemple : www.domaine.fr

Adresse de contact Voir chapitre 4.3

Compte associé Exemple : domaine

Mot de passe pour FTP Modifiable par la commande

Mot de passe pour Voir chapitre 4.5

Nom de la base de Dérivé du nom de serveur, en remplaçant les

Serveur d'envoi de Si différent du serveur configuré par défaut

© 2009 Bernard Paques 10

3.1 Connexion et mise à jour du logiciel

apt-get install openssl

3.2 Sécuriser l'accès SSH

– de créer un compte d'usager remote pour se connecter en SSH,

– d'interdire les accès SSH, sauf pour remote et pour root.

© 2009 Bernard Paques 11

Passons ensuite au fichier de configuration SSH :

AllowUsers remote root

Bloquer l'authentification directe du compte root :