Nextcloud – Exposez votre instance sur Internet

Nextcloud – Exposez votre instance sur Internet

23 mai 2019 haproxy Non classé Réseau 0

Comment exposer votre instance NextCloud, ou tout autre services, hébergés chez vous, sur Internet ?
Deux possibilités :

  • En paramétrant votre routeur Internet (Box),
  • en passant par un serveur privé virtuel (VPS ), solution la plus raisonnable.

Paramétrage de votre Box Internet (routeur Fibre Optique ou ADSL).

Il existe tellement de types de routeurs (Box) qu’il m’est impossible de les exposer ici. Mais quand on parle de ce genre d’opération, il s’agit plus généralement, d’ajouter des règles de NAT (translation d’adresses). La première chose à faire est de rendre fixe l’adresse de l’entrée principal de votre MiniDatacenter, afin d’être sûr qu’il disposera toujours de la même adresse IP. Puis effectuer le paramétrage du routeur (Box), afin que les paquets arrivant sur un port spécifique (443 ici) soit redirigés vers l’adresse et le port de votre MiniDatacenter.
Si votre fournisseur d’accès ne vous distribue d’adresse IP Fixe, vous allez devoir paramétrer un service de mise à jour de DNS dynamique, afin que le nom de domaine que vous avez choisi soit toujours associé à l’adresse IP de votre Box, qui change de manière aléatoire et décidé par votre fournisseur d’accès.
Cette solution ne fonctionne pas si votre fournisseur, comme c’est le cas pour moi en Inde, ne fournit pas d’adresse IP publique (adresse d’exposition directe internet) à chaque utilisateur connecté, mais fait passer le trafic par un seul point sur l’internet, ou bien, si votre fournisseur d’accès bloque le trafic entrant direct, vers votre Box.
Un autre problème peut aussi se présenter pour la génération du certificat SSL LesEncrypt…

Opérations NAT sur un routeur exposé sur l’Internet

Serveur privé virtuel

C’est la solution la plus intéressante, mais bien entendu pas gratuite. Beaucoup de Datacentres proposent des solutions de Virtual Private Server. Vous pouvez trouver des offres démarrant à 3€/mois (https://www.ovh.com/fr/vps/ par exemple, sans engagements). Vous pouvez réduire la facture, en mutualisant cette location avec d’autres utilisateurs. Ce qui m’intéresse dans ce type de service, c’est sa bande passante, peu importe la puissance et la capacité de stockage du serveur.
Ce serveur virtuel ne disposera que de deux services : OpenVPN, et HAPROXY, donc très facile à maintenir.
OpenVPN va permettre de relier votre MiniDatacenter au serveur VPS, et permettre ainsi son exposition sur Internet, tandis que HAPROXY va répartir le trafic vers les clients VPN fonction de l’Url reçue (Haproxy layer 7). Si vous mutualisez ce service avec d’autres, la configuration ne change pas. Il y aura plusieurs clients Openvpn connecté au VPS, mais vous devrez vous assurer, pour la sécurité de chacun, que les clients Openvpn ne puissent communiquer entre eux.

Ce dispositif présente plusieurs avantages :

  • peu coûteux,
  • facile à maintenir,
  • détection d’intrusion interceptée avant l’arrivée sur le Datacenter,
  • ne nécessite pas la mise en place de NAT sur votre box internet,
  • l’isolation du Datacenter peut être instantanée (arrêt du service Openvpn),
  • vous bénéficiez des Firewalls de l’infrastructure dans laquelle est hébergé le serveur VPS,
  • solution alternative quand votre fournisseur d’accès internet ne propose pas le NAT sur votre connexion
  • vous pouvez déplacer votre MiniDatacenter, n’importe où sans aucunes modifications de paramétrage.

Préparation du serveur privé virtuel

Après avoir commandé votre serveur privé virtuel, le fournisseur propose un accès SSH avec le login “root” et un mot de passe. Connectez-vous à se serveur et changer immédiatement le mot de passe d’accès :
# indiquer le nouveau mot de passe et confirmer (mot de passe fort – vous pouvez le générer avec l’outils “apg”)
apt install apg
apg
passwd

Entrez le nouveau mot de passe et confirmer.
# Vérifiez qu’il n’existe pas de fichier dont le nom est “authorized_keys
find / -name “authorized_keys” -exec rm -f {}\;
Cette commande cherche ce type de fichier, puis les supprime s’ils sont présents.
Ces fichiers permettent bien souvent à des administrateurs du Datacentre de pouvoir s’y connecter sans disposer du mot de passe utilisateur.
Ce cas est de moins en moins fréquent, mais je l’ai déjà rencontré dans certains Datacenter.

Installation d’un répartiteur de charge – HAPROXY

Ce service permet de communiquer avec des serveurs exposés ou non sur l’internet de manière transparente pour l’utilisateur. Elle permet aussi de répartir la charge d’un service tel un site web, une application de chat, etc… en répartissant les demandes sur plusieurs serveurs.

Pour installer le service “haproxy”, exécutez la commande suivante :
apt install haproxy

Installation d’un serveur Openvpn – du client (votre mini-datacenter)

Je vous renvoie à mon instruction très détaillée sur l’installation d’un serveur Openvpn sécurisé : https://www.mytinydc.com/index.php/mytinydc-openvpn/

Topologie Finale

Paramétrage Firewall

VPS : INPUT TCP/443 – INPUT [Proto Openvpn]/[Port Openvpn]
MINIDATACENTER : Je ne rentre pas dans les détails, plusieurs cas sont possibles (PREROUTING, ou bien flux vers un autre Haproxy, …)

Paramétrage HAPROXY

Une fois que la communication entre votre Datacentre et le VPS est établie, de manière stable, il est temps de configurer le répartiteur HAPROXY. Ce dernier sera l’interface entre les internautes et votre Datacenter.
Vous avez acheté le domaine “mondomaine.fr“, créer un enregistrement de type A, disposant du nom “nextcloud“, et de l’adresse IP exposée de votre VPS, dans mon exemple ce sera “1.2.3.4“. Attendre la propagation DNS. (commande : host nextcloud.mondomaine.fr). Cette commande doit présenter l’adresse de votre VPS (nécessaire pour créer le certificat SSL LetsEncrypt).
Créer le fichier /etc/haproxy/haproxy.cfg en indiquant ce contenu que vous devrez adapter à votre configuration.

global
log /dev/log local0
log /dev/log local1 notice
chroot /var/lib/haproxy
stats socket /run/haproxy/admin.sock mode 660 level admin
stats timeout 30s
user haproxy
group haproxy
daemon
ca-base /etc/ssl/certs
crt-base /etc/haproxy/certs
ssl-default-bind-ciphers ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:RSA+AESGCM:RSA+AES:!aNULL:!MD5:!DSS
ssl-default-bind-options no-sslv3
tune.ssl.default-dh-param 2048
defaults
log global
mode http
option httplog
option dontlognull
retries 3
option redispatch
option contstats
option http-server-close
maxconn 2000
timeout connect 5000
timeout client 7200000
timeout server 7200000
default-server inter 15s rise 2 fall 3
option forwardfor
errorfile 400 /etc/haproxy/errors/400.http
errorfile 403 /etc/haproxy/errors/403.http
errorfile 408 /etc/haproxy/errors/408.http
errorfile 500 /etc/haproxy/errors/500.http
errorfile 502 /etc/haproxy/errors/502.http
errorfile 503 /etc/haproxy/errors/503.http
errorfile 504 /etc/haproxy/errors/504.http
frontend 1.2.3.4:443httpssl
mode http
bind 1.2.3.4:443 ssl crt nextcloud.mondomaine.fr.pem
enabled
acl nextcloudmondomaine.frssl hdr(host) -i nextcloud.mondomaine.fr
use_backend nextcloudmondomaine.frssl if nextcloudmondomaine.frssl
backend nextcloudmondomaine.frssl
mode http
enabled
server nextcloudmytinydc 172.28.0.10:443 ssl verify none check weight 100 maxconn 50

Création d’un certificat SSL (https) avec LetsEncrypt

LetsEncrypt est une autorité de certification pour les certificats HTTPS, au même titre que les autres sociétés proposant ce service. Sauf que l’obtention d’un certificat est gratuite. Ainsi les navigateurs, applications, ne présenteront plus d’erreurs ou de messages indiquant que le certificat n’est pas vérifié par une autorité de certification. Pour créer un certificat LetEncrypt, veuillez vous reporter à la documentation : https://letsencrypt.org/
ATTENTION : Dans la configuration du serveur VPS proposé, ce dernier dispose du service HAPROXY, qui selon son paramétrage utilise les ports 80 et/ou 443 (respectivement http et https). Pour créer vos certificats, certbot lance un service qui écoute aussi, par défaut, sur les ports 80 et 443.

Shell – Création d’un certificat

Ce shell est très simple, prend en paramètre le nom du certificat à créer. Vous devez vérifier, avant, la propagation DNS effective du nom de domaine, relatif au certificat à créer. LetsEncrypt fait appel aux services DNS afin d’effectuer des vérifications élémentaires de propriétaire.
Créer le fichier /root/LetsEncrypt-addcert.sh en indiquant ce contenu :

#!/bin/bash
if [ “$1” = “” ];then
echo “Indiquez le nom de domaine à gérer”
exit
fi
export DOMAIN=$1
certbot certonly –standalone –preferred-challenges http –tls-sni-01-port 30033 -n –rsa-key-size 4096 -d $DOMAIN
bash -c ‘cat /etc/letsencrypt/live/$DOMAIN/fullchain.pem /etc/letsencrypt/live/$DOMAIN/privkey.pem > /etc/haproxy/certs/$DOMAIN.pem’

chmod 750 /root/LetsEncrypt-addcert.sh
(*) L’utilisation du port 30033 est un choix de l’administrateur qui exécute la commande. Par défaut LetsEncrypt utilise les port 80 et 443 mais déjà utilisé par le service HAPROXY.
La longueur de la clé par défaut est des 2048 bits, il est aujourd’hui conseillé d’utiliser une clé de 4096 bits.

Shell – Renouvellement des certificats

Le renouvellement des certificats est exécuté par la tâche cron /etc/cron.d/certbot
Dans le cadre d’une utilisation avec HAPROXY, cette tâche ne concatène pas les certificats permettant d’obtenir un fichier “.pem” valide pour HAPROXY. Par conséquent,
Ajouter à la fin de la ligne du fichier /etc/cron.d/certbot : ” && /root/LetsEncrypt-renewcert.sh

0 */12 * * * root test -x /usr/bin/certbot -a ! -d /run/systemd/system && perl -e ‘sleep int(rand(43200))’ && certbot -q renew && /root/LetsEncrypt-renewcert.sh

La concaténation sera automatique après l’exécution de certbot. Créer le fichier /root/LetsEncrypt-renewcert.sh en indiquant ce contenu :

#!/bin/bash
PATHCERT=”/etc/letsencrypt/live”
PATHCERTHAPROXY=”/etc/haproxy/certs”
DIRS=ls `$PATHCERT`
if [ “$DIRS” = “” ];then
echo “Aucun certificat trouvé sur ce serveur”
exit 1
fi
#Parcours des certs installés et création des PEM Haproxy
for DOMAIN in $DIRS
do
if [ -d “$PATHCERT/$DOMAIN” ];then
echo “Concat $PATHCERT/$DOMAIN/fullchain.pem $PATHCERT/$DOMAIN/privkey.pem to $PATHCERTHAPROXY/$DOMAIN.pem”
cat $PATHCERT/$DOMAIN/fullchain.pem $PATHCERT/$DOMAIN/privkey.pem > $PATHCERTHAPROXY/$DOMAIN.pem
fi
done
# Reload HAPROXY configuration
systemctl reload haproxy

chmod 750 /root/LetsEncrypt-renewcert.sh

Mutualisation du serveur VPS

Pour réduire les coûts, nous pouvons mutualiser le service HAPROXY entre plusieurs acteurs. Chacun disposera d’une clé d’accès au VPN, et un administrateur sera chargé de gérer les certificats et la configuration du service HAPROXY.

Sécurité du service Haproxy

Vous devrez prêter attention aux logs de ce service, surtout si vous mutualiser l’utilisation. Les logs, et ce lié à l’implémentation des services mise en oeuvre, peuvent présenter des url contenant des metadonnées sensibles genre token d’accès etc… Ceci n’est pas lié à la sécurité brute du service HAPROXY mais aux effets de bords pouvant survenir dans le cadre d’une mauvaise utilisation de ces logs. Portez attention à la protection de l’accès de ces traces de leur durée de conservation,…

Sécurité du service Openvpn

Ceci peut présenter des problèmes de sécurité, dans le cas où les client VPN, une fois connectés, peuvent communiquer entre eux.
Par défaut, Openvpn n’active pas ce service, mais vous allez devoir vous assurer avec des outils, comme “tcpdump”, que le trafic soit bien bloqué entre ces différents acteurs.
Car si Openvpn n’active pas ce service dans sa configuration (option “client-to-client“), il peut se révéler que le kernel fasse son travail de routage comme pour toutes autres interfaces. Vous pourrez désactiver le Forward de la pile IP et/ou ajouter une règle iptables empêchant le Forward entre les acteurs :
FORWARD -i [nom de l’interface] -o [nom de l’interface] -j DROP.
Vous trouverez une excellente explication ici : https://serverfault.com/questions/736274/openvpn-client-to-client
La gestion des certificats d’accès au VPN (openvpn) est rendue très facile avec l’outil associé à Openvpn, que j’ai développé et que vous pouvez trouver ici : https://www.mytinydc.com/index.php/mytinydc-openvpn/

Conclusion

Bien entendu, vous pouvez adapter ce cas “Nextcloud” à d’autres services, tels, la messagerie instantanée Matrix-Synapse-Riot, Rocketchat, etc…

Licence de ce documentCreative Commons(CC BY-NC-ND 4.0)
CETTE DOCUMENTATION EST LIVRÉE “EN L’ÉTAT”, SANS GARANTIE D’AUCUNE SORTE ET DISTRIBUÉE DANS UN BUT ÉDUCATIF EXCLUSIVEMENT. L’AUTEUR, CONTRIBUTEURS DE CETTE DOCUMENTATION OU ©MYTINYDC.COM NE SAURAIENT EN AUCUN CAS ÊTRE TENUS RESPONSABLES DES DOMMAGES DIRECTS OU INDIRECTS POUVANT RÉSULTER DE L’APPLICATION DES PROCÉDURES MISES EN ŒUVRE DANS CETTE DOCUMENTATION, OU DE LA MAUVAISE INTERPRÉTATION DE CE DOCUMENT