Exposer des services sur internet, m\u00eame via un reverse proxy comme Nginx Proxy Manager, c’est ouvrir une porte sur le quartier le plus mal fr\u00e9quent\u00e9 du monde. Dans cet article, je d\u00e9taille comment j’ai mis en place une double protection \u2014 Fail2ban et CrowdSec \u2014 sur mon LXC NPM, pourquoi les deux se compl\u00e8tent plut\u00f4t que de faire doublon, et comment je surveille tout \u00e7a au quotidien depuis Home Assistant.<\/p>\n\n\n\n
Mon NPM (Nginx Proxy Manager) expose plusieurs sous-domaines sur Fail2ban \u00e9tait d\u00e9j\u00e0 en place depuis un moment, avec une jail d\u00e9di\u00e9e par sous-domaine. Mais je voulais une protection plus fine, capable de d\u00e9tecter des types d’attaques que Fail2ban ne couvre pas (injections, CVE sp\u00e9cifiques, scans de chemins sensibles). C’est l\u00e0 qu’intervient CrowdSec.<\/p>\n\n\n\n Fail2ban surveille des motifs pr\u00e9cis dans les logs \u2014 typiquement les \u00e9checs de connexion \u00e0 une interface d’administration (WordPress, par exemple) \u2014 et bannit l’IP via iptables apr\u00e8s un certain nombre d’\u00e9checs dans une fen\u00eatre de temps donn\u00e9e.<\/p>\n\n\n\n Chez moi, la jail sur mon blog WordPress est la plus active de loin :<\/p>\n\n\n\n Plus de 8000 tentatives de connexion cumul\u00e9es, 70 IP bannies au total. C’est le lot commun de tout WordPress expos\u00e9 sur internet \u2014 les robots essaient en boucle des combinaisons de mots de passe sur CrowdSec fonctionne diff\u00e9remment : il installe des collections<\/strong> de sc\u00e9narios (des r\u00e8gles de d\u00e9tection maintenues par la communaut\u00e9) qui rep\u00e8rent des comportements suspects bien plus vari\u00e9s que \u00ab trop d’\u00e9checs de login \u00bb :<\/p>\n\n\n\n L’installation se r\u00e9sume \u00e0 deux commandes :<\/p>\n\n\n\n Ces collections embarquent le parser (qui comprend le format des logs Nginx) et l’ensemble des sc\u00e9narios de d\u00e9tection. Une fois qu’une IP d\u00e9passe le seuil d\u00e9fini par un sc\u00e9nario, CrowdSec cr\u00e9e une d\u00e9cision de bannissement, transmise \u00e0 un bouncer<\/strong> \u2014 dans mon cas, un bouncer firewall qui traduit la d\u00e9cision en r\u00e8gle iptables.<\/p>\n\n\n\n En creusant les m\u00e9triques Prometheus de CrowdSec, une surprise : mon bouncer bloquait bien plus d’IP que ce que mes propres logs avaient d\u00e9tect\u00e9. La m\u00e9trique Ces 15 470 IP n’ont jamais mis les pieds sur mes serveurs \u2014 elles sont bloqu\u00e9es pr\u00e9ventivement<\/strong>, parce qu’elles ont \u00e9t\u00e9 signal\u00e9es comme malveillantes par d’autres utilisateurs CrowdSec ailleurs dans le monde. C’est exactement la promesse de l’outil : mutualiser la d\u00e9tection entre tous ses utilisateurs pour se prot\u00e9ger d’attaques qu’on n’aurait jamais vues venir soi-m\u00eame.<\/p>\n\n\n\n La question s’est pos\u00e9e naturellement : Fail2ban et CrowdSec font-ils doublon ? La r\u00e9ponse est non, et j’ai pu le v\u00e9rifier concr\u00e8tement. En comparant les IP bannies par les deux outils sur mon blog au m\u00eame moment :<\/p>\n\n\n\n Fail2ban avait banni<\/strong> : CrowdSec avait banni<\/strong> : Aucun recoupement.<\/strong> Chaque outil a d\u00e9tect\u00e9 un type d’attaque que l’autre n’aurait pas vu. C’est la meilleure d\u00e9monstration que ce n’est pas de la redondance, mais deux lignes de d\u00e9fense compl\u00e9mentaires.<\/p>\n\n\n\n Si votre Nginx Proxy Manager tourne en installation native (pas via Docker), le bouncer CrowdSec d\u00e9di\u00e9 \u00e0 Nginx (bas\u00e9 sur un module Lua) ne fonctionnera pas \u2014 il n\u00e9cessite OpenResty, que NPM n’utilise pas par d\u00e9faut. La solution : passer par le bouncer firewall<\/strong> ( Attention aussi \u00e0 l’emplacement r\u00e9el des logs si vous utilisez NPM en dehors de Docker : ils ne sont pas forc\u00e9ment dans Pour l’acc\u00e8s distant \u00e0 HA, j’ai fait un autre choix : l’abonnement Home Assistant Cloud<\/strong>, propos\u00e9 par Nabu Casa.<\/p>\n\n\n\n Les avantages sont nombreux par rapport \u00e0 une exposition classique via reverse proxy :<\/p>\n\n\n\n Pour quelques euros par mois, je m’\u00e9vite ainsi toute la m\u00e9canique de s\u00e9curisation qu’on vient de d\u00e9tailler pour mes autres sous-domaines \u2014 et accessoirement, je participe au financement de l’Open Home Foundation<\/strong>, la fondation \u00e0 but non lucratif dont d\u00e9pendent Home Assistant et ESPHome. Nabu Casa reverse une partie de ses revenus au d\u00e9veloppement de ces projets open source : un abonnement Cloud, c’est autant un service pratique qu’un petit geste de soutien \u00e0 un travail formidable.<\/p>\n\n\n\n Une fois la protection en place, la vraie question devient : comment savoir que tout fonctionne, sans devoir taper des commandes J’ai choisi d’exposer les m\u00e9triques des deux outils via Prometheus :<\/p>\n\n\n\n Prometheus collecte ces deux endpoints, puis alimente deux endroits :<\/p>\n\n\n\n Exemple de capteur HA pour le nombre de bans actifs sur mon blog :<\/p>\n\n\n\n Un d\u00e9tail qui m’a fait tiquer au d\u00e9but : Prometheus stocke toutes ses valeurs en Aujourd’hui, une simple page dans mon dashboard Home Assistant me suffit pour voir d’un coup d’\u0153il :<\/p>\n\n\n\n La s\u00e9curit\u00e9 de mes sites est d\u00e9sormais un indicateur comme un autre, au m\u00eame titre que ma consommation \u00e9lectrique ou la m\u00e9t\u00e9o du jour \u2014 plus besoin de sortir le terminal SSH pour sentir qu’un chiffre d\u00e9rape.<\/p>\n\n\n\n Article r\u00e9dig\u00e9 avec l’assistance de Claude AI (Anthropic) \u00e0 partir de mes donn\u00e9es et retours d’exp\u00e9rience.<\/em><\/p>\n","protected":false},"excerpt":{"rendered":" Intro Exposer des services sur internet, m\u00eame via un reverse proxy comme Nginx Proxy Manager, c’est ouvrir une porte sur le quartier le plus mal fr\u00e9quent\u00e9 du monde. Dans cet … <\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[4,98,68],"tags":[104,101],"class_list":["post-4508","post","type-post","status-publish","format-standard","hentry","category-homeassistant","category-linux","category-proxmox","tag-graphana","tag-securite"],"_links":{"self":[{"href":"https:\/\/domo.rem81.com\/index.php\/wp-json\/wp\/v2\/posts\/4508","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/domo.rem81.com\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/domo.rem81.com\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/domo.rem81.com\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/domo.rem81.com\/index.php\/wp-json\/wp\/v2\/comments?post=4508"}],"version-history":[{"count":14,"href":"https:\/\/domo.rem81.com\/index.php\/wp-json\/wp\/v2\/posts\/4508\/revisions"}],"predecessor-version":[{"id":4522,"href":"https:\/\/domo.rem81.com\/index.php\/wp-json\/wp\/v2\/posts\/4508\/revisions\/4522"}],"wp:attachment":[{"href":"https:\/\/domo.rem81.com\/index.php\/wp-json\/wp\/v2\/media?parent=4508"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/domo.rem81.com\/index.php\/wp-json\/wp\/v2\/categories?post=4508"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/domo.rem81.com\/index.php\/wp-json\/wp\/v2\/tags?post=4508"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}rem81.com<\/code> : mon blog (domo), ma phototh\u00e8que (Immich), mes statistiques de fr\u00e9quentation (Matomo) et ma station m\u00e9t\u00e9o (WeeWX). Chacun de ces services re\u00e7oit en permanence du trafic non d\u00e9sir\u00e9 : scans automatis\u00e9s, tentatives de connexion, sondage de vuln\u00e9rabilit\u00e9s connues.<\/p>\n\n\n\nFail2ban : le sp\u00e9cialiste des \u00e9checs de connexion<\/h1>\n\n\n\n
Status for the jail: npm-domo\n|- Filter\n| |- Currently failed: 6\n| |- Total failed: 8043\n`- Actions\n |- Currently banned: 5\n |- Total banned: 70<\/code><\/pre>\n\n\n\nwp-login.php<\/code>.<\/p>\n\n\n\nCrowdSec : la d\u00e9tection comportementale communautaire<\/h1>\n\n\n\n
\n
.env<\/code>, \/wp-admin<\/code>…)<\/li>\n<\/ul>\n\n\n\ncscli collections install crowdsecurity\/nginx\ncscli collections install crowdsecurity\/base-http-scenarios<\/code><\/pre>\n\n\n\nLe bonus inattendu : la blocklist communautaire<\/h1>\n\n\n\n
cs_active_decisions<\/code> distingue en fait deux origines bien diff\u00e9rentes :<\/p>\n\n\n\nOrigine<\/th> IP actuellement bloqu\u00e9es<\/th> Explication<\/th><\/tr><\/thead> crowdsec<\/code><\/td>2<\/td> D\u00e9tections issues de mes propres logs (agent local)<\/td><\/tr> CAPI<\/code><\/td>15 470<\/td> Blocklist communautaire partag\u00e9e par tous les utilisateurs CrowdSec<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n Pourquoi garder les deux : la preuve par les logs<\/h1>\n\n\n\n
195.178.110.223<\/code>, 35.88.92.81<\/code>, 64.89.163.227<\/code>, 34.123.220.148<\/code>, 100.58.205.11<\/code> \u2014 toutes suite \u00e0 des tentatives de connexion WordPress.<\/p>\n\n\n\n160.176.150.31<\/code>, une IP marocaine, pour une tentative d’injection XSS (crowdsecurity\/http-xss-probing<\/code>).<\/p>\n\n\n\nUn pi\u00e8ge d’installation \u00e0 conna\u00eetre<\/h1>\n\n\n\n
crowdsec-firewall-bouncer-iptables<\/code>), qui bloque au niveau du syst\u00e8me plut\u00f4t qu’au niveau applicatif. Le r\u00e9sultat est identique \u2014 la requ\u00eate n’atteint jamais sa destination \u2014 mais l’installation est plus simple et ind\u00e9pendante de la stack web utilis\u00e9e.<\/p>\n\n\n\napt install crowdsec-firewall-bouncer-iptables -y<\/code><\/pre>\n\n\n\n\/var\/log\/nginx\/<\/code>, mais dans \/data\/logs\/proxy-host-X_access.log<\/code>. Un petit find \/ -newermt \"-10 minutes\"<\/code> permet de rep\u00e9rer rapidement les fichiers qui re\u00e7oivent effectivement du trafic.<\/p>\n\n\n\nLe cas particulier de Home Assistant : Nabu Casa plut\u00f4t qu’un sous-domaine<\/h1>\n\n\n\n
\n
Superviser sans multiplier les interfaces<\/h1>\n\n\n\n
cscli<\/code> ou fail2ban-client<\/code> \u00e0 chaque fois ?<\/p>\n\n\n\n\n
\/metrics<\/code> (\u00e0 activer dans \/etc\/crowdsec\/config.yaml<\/code>)<\/li>\n\n\n\nfail2ban_exporter<\/code>) fait le pont via le socket Fail2ban<\/li>\n<\/ul>\n\n\n\n\n
rest:\n - resource: \"http:\/\/<ip_prometheus>:9090\/api\/v1\/query?query=f2b_jail_banned_current{jail=%22npm-domo%22}\"\n method: GET\n scan_interval: 60\n sensor:\n - name: \"Fail2ban Domo Bans Actifs\"\n value_template: \"{{ value_json.data.result[0].value[1] | default(0) | int }}\"\n state_class: measurement<\/code><\/pre>\n\n\n\nfloat<\/code>, y compris des compteurs entiers comme un nombre de bans. Le | int<\/code> dans le template s’occupe de la conversion \u00e0 l’affichage. Et pour que ces capteurs g\u00e9n\u00e8rent de vraies courbes exploitables dans l’historique (au lieu d’une simple frise d’\u00e9tats), il faut penser \u00e0 leur donner un state_class<\/code> adapt\u00e9 \u2014 measurement<\/code> pour une valeur qui monte et descend, total_increasing<\/code> pour un compteur qui ne fait qu’augmenter.<\/p>\n\n\n\nCe que \u00e7a donne au quotidien<\/h1>\n\n\n\n
\n
f2b_up<\/code>, cs_info<\/code>)<\/li>\n\n\n\nEn r\u00e9sum\u00e9<\/h1>\n\n\n\n
\n
\n\n\n\n