ansible-hardening-linux

Configuration et durcissement de serveurs Linux — Debian 12/13, Ubuntu 22.04/24.04, RHEL / Rocky / AlmaLinux 8 et 9 — par Ansible. Reprise du dépôt de scripts prerequis-install-deb (Debian uniquement, copie de fichiers à la main) sous forme de rôles idempotents, multi-distributions, avec CI/CD Gitea.

Objectif : à la fin d'un passage, tout serveur est configuré, à jour, supervisé, et n'est joignable à distance qu'en SSH par clé publique ; l'accès local (console, su -) continue de fonctionner comme avant.

Correspondance avec les scripts d'origine

Script d'origine	Rôle	Ce qui change
01-ssh (sshd_config, ssh_config, banner, authorized_keys, 00-basic)	ssh	Drop-in sshd_config.d/00-durcissement.conf au lieu d'écraser tout le fichier ; clé publique obligatoire (AuthenticationMethods publickey) ; AllowUsers calculé depuis la liste des comptes ; clés centralisées dans /etc/ssh/authorized_keys/<user> (le lien symbolique de l'ancien script est remplacé par des fichiers appartenant à root) ; bannière dans /etc/issue.net et /etc/issue ; MOTD 00-basic conservé, rendu portable, et équivalent profile.d sous Red Hat ; vérification d'une nouvelle connexion SSH avant de rendre la main
02-apt (proxy + full-upgrade)	proxy, updates	Proxy APT et DNF, plus profile.d ; mises à jour de sécurité automatiques (unattended-upgrades / dnf-automatic) ; signalement du besoin de redémarrage
04-agent-glpi	glpi_agent (+ common pour le certificat)	Installateur perl officiel, version pilotée par variable, configuration dans conf.d/10-ansible.cfg ; le certificat racine va dans le magasin système (update-ca-certificates / update-ca-trust) et sert à tout le monde, pas seulement à l'agent
06-snmp	snmp	Communautés v2c par source de supervision, lues depuis le vault ; SNMPv3 disponible ; vue en lecture seule
07-DNS	dns	Respecte le gestionnaire réel : systemd-resolved (drop-in), NetworkManager (dns=none puis resolv.conf), ou resolv.conf direct
08-NRPE	nrpe	Installation et configuration : allowed_hosts, dont_blame_nrpe=0, commandes de base
03-cortex, 05-manageengine	—	Ignorés à la demande
(absent)	firewall	nftables (Debian/Ubuntu) ou firewalld (Red Hat), politique drop : SSH depuis les réseaux d'administration, ICMP, SNMP/NRPE depuis la supervision
(absent)	fail2ban	Bannissement des sources en échec sur SSH, backend systemd
(absent)	os_hardening	sysctl, core dumps, login.defs, auditd, services et paquets inutiles
(absent)	common	Contrôle de la distribution, paquets de base, fuseau, certificats racine

Ce qui garantit que l'accès local reste possible

• Aucun mot de passe n'est verrouillé, aucun compte n'est désactivé, PAM n'est pas modifié.
• PermitRootLogin prohibit-password : root n'est joignable à distance que par clé, mais son mot de passe reste valable sur la console (Proxmox, KVM, iLO…) et pour su -.
• Le pare-feu ne filtre que le réseau ; la console n'est pas concernée.
• fail2ban ne bannit que des adresses IP distantes ; les réseaux d'administration sont dans ignoreip.
• Deux garde-fous contre l'auto-verrouillage : le rôle ssh refuse une configuration où le compte utilisé par Ansible n'aurait pas de clé ou ne serait pas dans AllowUsers, et le rôle firewall refuse une liste firewall_ssh_sources qui exclurait l'adresse depuis laquelle Ansible est connecté. Après chaque redémarrage de sshd et après chaque application du pare-feu, une nouvelle session SSH est ouverte depuis le contrôleur ; si elle échoue, le playbook s'arrête sans fermer la session courante.

Arborescence

Même organisation qu'ansible-centreon : playbook et group_vars à la racine, inventaire et vault versionnés, collections déclarées dans collections/.

.
├── ansible.cfg
├── site.yml                      # point d'entrée
├── collections/requirements.yml  # ansible.posix, community.general (installées par Semaphore)
├── inventory/hosts.yml           # inventaire versionné
├── group_vars/all/
│   ├── main.yml                  # réseaux, DNS, proxy, comptes, supervision, activation des rôles
│   └── vault.yml.example         # à copier vers vault.yml, chiffrer, puis versionner
├── files/
│   ├── keys/*.pub                # clés publiques SSH, attribuées par ssh_users[].keys
│   └── ca/*.crt                  # certificats racine internes (versionnés)
├── roles/                        # common, proxy, dns, updates, ssh, firewall, fail2ban,
│                                 # os_hardening, snmp, nrpe, glpi_agent
├── .gitea/workflows/ansible-lint.yml
└── CICD.md                       # chaîne Gitea (contrôle) -> Semaphore (exécution)

Mise en route

1. Inventaire : renseigner inventory/hosts.yml. Deux modes de connexion :
   • compte de service ansible + sudo (become est activé dans ansible.cfg) ;
   • root par clé, comme sur les VM Terraform : ansible_user: root, become est alors sans effet.
2. Clés publiques : fichiers *.pub à plat dans files/keys/, attribués aux comptes par ssh_users[].keys dans group_vars/all/main.yml. Le compte utilisé par Ansible (root) doit y avoir la clé de Semaphore.
3. Certificat racine (facultatif) : files/ca/root-ca.crt au format PEM.
4. Secrets : cp group_vars/all/vault.yml.example group_vars/all/vault.yml, renseigner, puis ansible-vault encrypt group_vars/all/vault.yml.
5. Variables : relire group_vars/all/main.yml — en particulier firewall_ssh_sources (réseaux d'administration), supervision_sources, dns_nameservers, proxy_url, ssh_users, glpi_agent_server.
6. Simulation : ansible-playbook site.yml --check --diff --ask-vault-pass
7. Application : ansible-playbook site.yml --ask-vault-pass

Un seul rôle : --tags ssh, --tags firewall, etc. Un rôle peut aussi être désactivé par variable (enable_<rôle>: false) au niveau global, d'un groupe ou d'un hôte.

Ordre d'exécution et raison

common → proxy → dns → updates → ssh → firewall → fail2ban → os_hardening → snmp → nrpe → glpi_agent.

Le proxy et le DNS viennent d'abord (sans eux, aucun paquet ne se télécharge) ; le SSH est durci avant le pare-feu (la règle SSH doit exister avant que la politique passe à drop) ; la supervision et l'agent GLPI viennent en dernier, une fois le système stable.

Points d'attention par distribution

• Ubuntu 22.10+ : sshd est activé par socket (ssh.socket). Le rôle bascule sur ssh.service pour que Port soit pris en compte depuis sshd_config.
• Red Hat / Rocky / Alma : les algorithmes SSH ne sont pas définis dans sshd_config (ils viennent de crypto-policies) ; fail2ban, NRPE et les greffons Nagios viennent d'EPEL, installé par common. SELinux : le port SSH est déclaré si différent de 22.
• Red Hat 8 (OpenSSH 8.0) : pas de directive Include ; le durcissement est inséré en tête de sshd_config entre des marqueurs, et les directives contradictoires du fichier d'origine sont commentées.
• VM issues de terraform-proxmox-serveur-debian-12 : le jeu nftables et le drop-in sshd sont compatibles avec ceux posés par cloud-init (même structure, même répertoire /etc/nftables.d/). Le drop-in Ansible 00-durcissement.conf passe avant 99-durcissement.conf de cloud-init : c'est Ansible qui a le dernier mot.

CI/CD

Voir CICD.md : Gitea contrôle le code, Semaphore l'exécute depuis la branche valide.

Vérifications après un premier passage

# Depuis le contrôleur : nouvelle session, clé uniquement
ssh -o BatchMode=yes -o ControlPath=none ansible@<hôte> 'sudo sshd -T | grep -Ei "^(permitrootlogin|passwordauthentication|authenticationmethods|allowusers)"'

# Pare-feu : seuls SSH, ICMP et les ports de supervision sont ouverts
ssh ansible@<hôte> 'sudo nft list chain inet filter input'        # Debian/Ubuntu
ssh ansible@<hôte> 'sudo firewall-cmd --list-all'                  # Red Hat

# fail2ban actif sur sshd
ssh ansible@<hôte> 'sudo fail2ban-client status sshd'