Sécuriser un serveur Ubuntu

Les fondations d'un serveur sécurisé

Un serveur Linux fraîchement installé est vulnérable par défaut : root peut se connecter en SSH avec un mot de passe, tous les ports sont potentiellement ouverts, et aucun pare-feu n'est actif. Ces 3 points représentent 90% des vecteurs d'attaque courants.

Ce module couvre les étapes indispensables. Xytherion vous servira de tableau de bord pour vérifier que chaque configuration est bien en place.

1 — Désactiver l'authentification par mot de passe SSH

La première chose à faire sur n'importe quel serveur exposé à Internet :

bash

# Générer une paire de clés sur votre machine localessh-keygen -t ed25519 -C "mon-serveur" # Copier la clé publique sur le serveurssh-copy-id -i ~/.ssh/id_ed25519.pub user@votre-serveur # Éditer la config SSH sur le serveursudo nano /etc/ssh/sshd_config # Modifier ces lignes :PasswordAuthentication noPermitRootLogin noPubkeyAuthentication yes # Recharger SSHsudo systemctl reload sshd

Testez la connexion par clé AVANT de fermer votre session courante. Si vous vous bloquez dehors, vous aurez besoin d'un accès console au serveur.

2 — Configurer UFW

bash

# Installer UFWsudo apt install ufw # Règles de base : tout bloquer par défautsudo ufw default deny incomingsudo ufw default allow outgoing # Autoriser SSH (indispensable !)sudo ufw allow 22/tcp # Autoriser HTTP/HTTPS si nécessairesudo ufw allow 80/tcpsudo ufw allow 443/tcp # Autoriser le port Xytherion sur le réseau localsudo ufw allow from 192.168.1.0/24 to any port 9001 # Activersudo ufw enablesudo ufw status verbose

✦

Restreignez le port 9001 à votre réseau local (192.168.1.0/24). Ne l'exposez jamais directement à Internet sans VPN ou authentification.

3 — Vérifier depuis Xytherion

Dans l'onglet Sécurité du dashboard, la section État du pare-feu doit maintenant afficher :

UFW — ACTIF · 4 règles configurées

La section Audit SSH vous montrera les 20 dernières connexions — vérifiez qu'aucune connexion suspecte n'apparaît.

✎

Exercice pratique — Sécurisation complète

1Générez une paire de clés ed25519 et copiez la clé publique sur votre serveur.
2Désactivez l'authentification par mot de passe dans sshd_config.
3Configurez UFW avec les règles ci-dessus et activez-le.
4Ouvrez Xytherion → Sécurité — vérifiez que UFW est actif et que SSH n'autorise plus les mots de passe.
5Tentez une connexion SSH avec mot de passe depuis une autre machine — elle doit être refusée.

Ce que vous venez d'apprendre

Les clés SSH ed25519 remplacent les mots de passe — plus sécurisées, plus pratiques.
PasswordAuthentication no dans sshd_config ferme la majorité des attaques brute-force.
UFW avec default deny incoming est le point de départ de tout pare-feu Linux.
Xytherion confirme en temps réel que UFW est actif et les règles en place.

← Module précédentAlertes et notifications

Module suivant →Services systemd