Serveur dédié : sécurisation de la couche TCP/IP

Il est facile de sécuriser la couche TCP/IP du serveur juste en activant quelques directives.

Normalement, le réseau de l’hébergeur est suffisant stable pour que nous puissions désactiver certains fonctions de routage IPv4 et IPv6.

Nous allons donc désactiver les redirections ICMP, nous protéger des attaques SYN FLOOD, du spoofing, du smurfing, désactiver le routage à l’intérieur des paquets et finalement désactiver l’autoconf IPV6.

Ce tutoriel prend à peine 10 minutes.

Configuration du fichier /etc/sysctl.conf

Il existe pas mal d’options dans le fichier sysctl.conf liées à la sécurité. Commençons par éditer le fichier :

nano /etc/sysctl.conf

Tout d’abord, on se protége du spoofing. Décommentez les 2 lignes :

net.ipv4.conf.default.rp_filter=1
net.ipv4.conf.all.rp_filter=1Code language: PHP (php)

On se protège ensuite des attaques de type SYN flood, décommentez la ligne :

net.ipv4.tcp_syncookies=1

et juste après, rajoutez :

net.ipv4.tcp_max_syn_backlog = 1024

On refuse les redirections ICMP pour éviter les attaques Man In The Middle (MITM) :

net.ipv4.conf.all.accept_redirects = 0
net.ipv6.conf.all.accept_redirects = 0

Nous ne sommes pas un routeur, nous n’envoyons donc pas de redirections ICMP:

net.ipv4.conf.all.send_redirects = 0
net.ipv6.conf.all.send_redirects = 0

et nous n’acceptons pas de router les paquets :

net.ipv4.conf.all.accept_source_route = 0
net.ipv6.conf.all.accept_source_route = 0

On peut également rajouter des directives supplémentaires. Par exemple, ignorer les codes réponses bogus des logs ICMP et éviter le smurfing :

net.ipv4.icmp_ignore_bogus_error_responses = 1
net.ipv4.icmp_echo_ignore_broadcasts = 1

ou encore désactiver l’autoconf IPv6 qui est responsable de l’erreur “kernel: IPv6 addrconf: prefix with wrong length 56”, très commune sur les serveurs OVH (dont notre kimsufi) :

net.ipv6.conf.all.autoconf = 0
net.ipv6.conf.default.autoconf = 0
net.ipv6.conf.eth0.autoconf = 0Code language: PHP (php)

Il ne vous reste plus qu’à enregistrer le fichier et à appliquer les modifications :

sysctl -n -e -q -p /etc/sysctl.conf

Voilà, votre serveur devrait être un peu plus sécurisé qu’au départ.

Articles conseillés :

• Serveur dédié : sécurisation des services avec iptables et fail2ban
• Serveur dédié : sécuriser Apache 2 avec ModSecurity
• Serveur dédié : création d’un serveur mail Postfix (sécurisé avec Saslauthd et certificat SSL) et Courier (accès POP et IMAP) utilisant une base MySQL d’utilisateurs/domaines virtuels
• Migration de serveur : bonjour Kimsufi 750G
• Serveur dédié : configurer la limite mémoire pour PHP et Suhosin
• Serveur dédié : mettre à jour le noyau Debian de la Kimsufi