Stockage, systèmes de fichiers et réseau sous Linux

Chaque chemin Linux commence dans une arborescence unique dont la racine est /. Un second disque rejoint cette arborescence dans un répertoire lorsqu’il est monté. Le Filesystem Hierarchy Standard (FHS) décrit l’usage habituel de chaque répertoire ; sa version 3.0 date de 2015.

Programmes et paramètres

Le FHS sépare les fichiers statiques de ceux qui changent, et les fichiers partagés de ceux qui sont propres à une machine. Les programmes installés se trouvent ainsi sous /usr, les données variables sous /var et les paramètres de cette machine sous /etc.

Dans l’organisation du FHS, les anciens emplacements /bin, /sbin et /lib contiennent les commandes et les bibliothèques essentielles. De nombreuses distributions actuelles utilisent la fusion dans /usr : ces chemins sont des liens symboliques vers des emplacements sous /usr. Ainsi, /bin/ls et /usr/bin/ls peuvent atteindre le même programme. /etc exclut les binaires exécutables, mais peut contenir des scripts d’administration.

Fichiers personnels et données d’exécution

Les utilisateurs ordinaires conservent généralement leurs fichiers dans /home/NAME ; ~ désigne ton répertoire personnel. Les paramètres utilisateur comme ~/.bashrc y sont des entrées cachées. /root est le répertoire personnel de l’utilisateur root. Le répertoire racine / est le début de toute l’arborescence, et non le répertoire personnel de cet utilisateur.

Sous /var, le deuxième répertoire précise l’usage :

• /var/log contient les journaux.
• /var/cache contient les données qui peuvent être téléchargées ou reconstruites.
• /var/lib contient l’état des programmes, y compris les bases de données et les enregistrements des paquets.
• /var/spool contient les tâches en attente, comme les travaux d’impression.
• /var/tmp contient les fichiers temporaires qui subsistent après un redémarrage.

/tmp est destiné aux fichiers temporaires de plus courte durée. /run contient les données du démarrage en cours, comme les sockets et les fichiers d’identifiants de processus, et est vidé au redémarrage. /boot contient le noyau, le disque RAM initial et les fichiers du chargeur de démarrage. /dev, /proc et /sys donnent accès aux périphériques et aux informations actuelles du noyau.

Montages et données des services

/mnt est l’emplacement habituel d’un montage manuel temporaire. Les systèmes de bureau montent généralement les supports amovibles sous /media/USER/LABEL, ou sous /run/media/USER/LABEL sur Fedora. /opt contient les logiciels complémentaires dans des répertoires de paquets distincts. /srv contient les données mises à la disposition d’autres machines ; certaines distributions utilisent des emplacements comme /var/www pour les sites web.

Prenons un serveur nginx installé à partir d’un paquet sur Debian ou Ubuntu. Son exécutable est /usr/sbin/nginx, ses principaux paramètres sont dans /etc/nginx/nginx.conf et les requêtes sont consignées dans /var/log/nginx/access.log. La documentation se trouve sous /usr/share/doc/nginx. L’usage du répertoire t’indique où examiner une modification de paramètres ou un journal qui grossit.

Installe ta propre commande sous /usr/local/bin, à l’écart des fichiers gérés par les paquets. Une mise à jour peut remplacer les fichiers sous /usr. Pour un service systemd, utilise l’emplacement de remplacement sous /etc/systemd/system au lieu de modifier son unité fournie sous /usr/lib/systemd/system.

Les fichiers temporaires ont besoin d’une durée de vie et de droits adaptés. Un fichier peut subsister après un redémarrage tout en restant soumis à un nettoyage programmé, et la protection contre la suppression diffère de la protection contre la lecture.

Choisis une durée de vie

Utilise /tmp pour les travaux de courte durée dont un programme n’aura pas besoin lors de sa prochaine exécution. Le FHS recommande de le vider au démarrage. Fedora et Debian 13 le montent couramment comme tmpfs, qui utilise la mémoire et l’espace d’échange ; son contenu disparaît à l’arrêt. Sa limite de taille par défaut est la moitié de la RAM physique : une tâche temporaire volumineuse peut donc le remplir même s’il reste de la place sur le disque principal.

Utilise /var/tmp lorsque les fichiers de travail temporaires doivent subsister après un redémarrage. Le FHS exige que son contenu soit conservé au démarrage. Cela reste un stockage temporaire : les règles de nettoyage du projet amont de systemd suppriment généralement les entrées inutilisées après 10 jours dans /tmp et 30 jours dans /var/tmp. Les paramètres de la distribution et les paramètres locaux peuvent modifier ces délais. Enregistre les travaux durables dans ton répertoire personnel ou dans un autre répertoire de données permanent.

Lis les droits du répertoire

Examine l’entrée du répertoire lui-même :

ls -ld /tmp

Une chaîne de droits peut être drwxrwxrwt. Le d initial signifie qu’il s’agit d’un répertoire. Les trois groupes de droits autorisent tout le monde à le lire, à y écrire et à y entrer. Le t final indique le sticky bit et remplace le caractère d’exécution habituel pour les autres.

Le droit d’écriture sur un répertoire permet normalement à un utilisateur d’y supprimer ou d’y renommer des entrées, y compris les fichiers d’autres personnes. Dans un répertoire doté du sticky bit, seuls le propriétaire du fichier, le propriétaire du répertoire ou root peuvent supprimer et renommer les fichiers, sous réserve des règles d’accès habituelles. Ce bit est utile précisément parce que de nombreux utilisateurs partagent /tmp.

Par exemple, Mina crée /tmp/draft.txt, en mode 644, dans un répertoire appartenant à root et doté du sticky bit. Tomas peut lire ce fichier parce que ses droits le permettent. Il ne peut pas le supprimer simplement parce qu’il peut écrire dans /tmp. Mina et root peuvent le supprimer. Passer le fichier en mode 600 protège aussi son contenu des autres utilisateurs ordinaires.

Définis et reconnais le sticky bit

Sur un répertoire partagé que tu administres :

sudo chmod 1777 /srv/shared

Le 1 initial active le sticky bit ; les chiffres 777 restants donnent à tous les utilisateurs un accès complet au répertoire. sudo chmod +t /srv/shared ajoute le bit sans remplacer les autres droits. chmod -t le retire lorsque tu as le droit de modifier le mode.

Un t minuscule signifie que le sticky bit et le droit d’exécution pour les autres sont tous deux activés. Un T majuscule signifie que le sticky bit est activé, mais que les autres n’ont pas le droit d’exécution. Par exemple, le mode 1770 apparaît sous la forme drwxrwx--T. Linux ignore le sticky bit sur les fichiers ordinaires ; son nom historique vient du maintien du code des programmes en mémoire ou dans l’espace d’échange sur les premières versions d’Unix.

Laisse mktemp choisir le nom

mktemp crée un fichier avec un nom aléatoire unique et les droits 600, puis affiche son chemin. mktemp -d crée un répertoire temporaire privé. Dans un script shell, conserve le nom affiché dans une variable, utilise ce nom pour le travail, puis supprime le fichier une fois terminé.

Un nom fixe comme /tmp/results.txt peut déjà appartenir à quelqu’un d’autre ou être créé avant le démarrage de ton programme. Un nom unique évite ce conflit. Le sticky bit ne rend pas les noms prévisibles sûrs et ne rend pas privé un fichier en mode 644.

Un lien donne un autre chemin vers un fichier dans l’arborescence. Un lien symbolique stocke un chemin. Un lien physique fournit un autre nom pour le même fichier sous-jacent. Leurs différences de comportement comptent lorsque le nom d’origine est déplacé ou disparaît.

Crée un lien symbolique

La syntaxe est ln -s TARGET LINKNAME : la cible d’abord, le nouveau nom ensuite. Par exemple :

ln -s /srv/manuals ~/manuals
ls -ld ~/manuals
readlink ~/manuals

ls -l commence la chaîne de droits d’un lien symbolique par l et affiche une flèche vers sa cible. La taille affichée est la longueur en octets du chemin stocké, et non la taille du répertoire cible. Pour les liens symboliques ordinaires sous Linux, les droits rwxrwxrwx affichés ne donnent pas accès à la cible ; les droits propres à la cible continuent de s’appliquer.

ls -ld /etc liste l’entrée du répertoire et ses droits. ls -l /etc liste son contenu. Une barre oblique finale sur un lien symbolique vers un répertoire fait suivre le lien : ls -l manuals/ liste le contenu du répertoire lié.

Résous une cible relative

Une cible relative part du répertoire qui contient le lien. Supposons que /home/lee/notes.txt existe et que /home/lee/backup soit un répertoire. Depuis /home/lee, exécute :

ln -s ../notes.txt backup/notes-link

Pour suivre le lien, pars de backup, remonte avec .., puis trouve notes.txt. Écrire ln -s notes.txt backup/notes-link à la place stocke un chemin vers backup/notes.txt. Ton répertoire de travail au moment de la création du lien ne fait pas partie de ce chemin relatif stocké. Une cible absolue évite cette ambiguïté particulière.

Un lien symbolique cassé subsiste après le déplacement ou la suppression du chemin de sa cible. Son ouverture échoue avec « No such file or directory ». readlink LINK affiche la cible stockée ; readlink -f LINK résout le chemin complet lorsqu’il le peut. find . -xtype l localise les liens cassés sous le répertoire courant. Recrée un lien cassé avec la bonne cible, par exemple ln -sfn NEWTARGET LINKNAME.

Compare avec un lien physique

printf 'hello\n' > original.txt
ln original.txt second.txt
ln -s original.txt shortcut.txt
rm original.txt

cat second.txt affiche toujours « hello ». Un lien physique est une autre entrée de répertoire pour le même inode, l’enregistrement du fichier dans le système de fichiers. Aucun nom d’origine particulier n’a besoin d’être conservé. cat shortcut.txt échoue parce que le chemin cible qu’il stocke n’existe plus.

ls -i affiche le même numéro d’inode pour deux liens physiques sur un même système de fichiers. La deuxième colonne de ls -l indique leur nombre de liens physiques. La suppression du dernier nom libère le fichier dès qu’aucun processus ne le garde ouvert.

Supprime un lien symbolique avec rm LINKNAME ou unlink LINKNAME. Pour un lien vers un répertoire, omets la barre oblique finale : rm manuals supprime uniquement le lien. Une commande récursive sur manuals/ peut atteindre et supprimer le contenu de la cible. Les chemins système comme /bin, les noms de commandes associés à une version et les services systemd activés utilisent souvent des liens symboliques.

Sous Linux, un chemin peut désigner un disque, un terminal ou des informations actuelles du noyau. Le premier caractère de ls -l indique le type d’entrée avant que tu la traites comme un document ordinaire.

Reconnais les types de fichiers

Les indicateurs sont - pour un fichier ordinaire, d pour un répertoire, l pour un lien symbolique, b pour un périphérique en mode bloc, c pour un périphérique en mode caractère, p pour un tube nommé et s pour une socket. Un périphérique en mode bloc, comme /dev/sda1, fournit un stockage en blocs accessibles dans n’importe quel ordre. Un périphérique en mode caractère, comme /dev/tty1, fournit un flux d’octets.

L’affichage d’un périphérique peut ressembler à ceci :

brw-rw---- 1 root disk 8, 1 Oct 22 08:00 /dev/sda1

Le b indique un périphérique en mode bloc. Les nombres 8, 1 remplacent le champ habituel de taille : les numéros majeur et mineur indiquent au noyau le pilote et le périphérique. /dev est normalement fourni en mémoire par devtmpfs et rempli à mesure que le matériel apparaît, avec l’aide d’udev. Le branchement d’une clé USB peut créer /dev/sdb et /dev/sdb1.

Écrire directement sur un périphérique disque peut écraser ses données sans demander confirmation. Vérifie l’identité du périphérique avec lsblk avant toute écriture de ce type.

Utilise les pseudo-périphériques

/dev/null élimine les octets qui y sont écrits et renvoie immédiatement une fin de fichier à la lecture. Cette commande masque les messages d’erreur tout en laissant les résultats normaux visibles :

find / -name '*.conf' 2>/dev/null

2> redirige la sortie d’erreur standard. Tout ce qui y est envoyé est éliminé.

/dev/zero fournit des octets nuls. Par exemple, dd if=/dev/zero of=test.img bs=1M count=100 crée un fichier ordinaire de 100 Mio rempli de zéros : 104 857 600 octets. La sortie est ici test.img, et non un périphérique disque. /dev/urandom fournit des octets aléatoires ; head -c 16 /dev/urandom | base64 en rend 16 affichables.

Une fois le générateur aléatoire de Linux initialisé, /dev/random et /dev/urandom fournissent tous deux des octets aléatoires sûrs pour la cryptographie. Sur les noyaux à partir de la version 5.6, /dev/random attend cette initialisation au début du démarrage ; /dev/urandom peut renvoyer des octets avant qu’elle soit terminée.

Consulte les informations actuelles

procfs, monté sur /proc, crée des informations à la demande. De nombreuses entrées affichent une taille nulle mais renvoient du texte à la lecture. /proc/cpuinfo décrit les processeurs, /proc/meminfo décrit la mémoire et /proc/mounts liste les montages. Les répertoires numérotés décrivent les processus en cours d’exécution ; /proc/sys donne accès aux paramètres du noyau. Des outils comme ps, top et free lisent ces informations.

cat /proc/uptime peut afficher 86400.52 340000.10. La première valeur est le nombre de secondes écoulées depuis le démarrage : environ 24 heures. La seconde additionne les temps d’inactivité des processeurs et peut donc dépasser le temps écoulé.

sysfs, monté sur /sys, décrit les périphériques, les pilotes et les bus. ls /sys/class/net/ liste les interfaces, ls /sys/block/ liste les périphériques en mode bloc et cat /sys/class/net/enp0s3/address lit l’adresse MAC d’une interface. Écrire dans les paramètres modifiables sous /proc ou /sys change le noyau en fonctionnement et nécessite normalement les droits root. Pour une sauvegarde complète du système, configure l’exclusion de /proc, /sys, /dev et /run ; le système en fonctionnement les recrée.

Un disque est un périphérique de stockage, physique ou virtuel. Une partition est une partie de ce disque. La table de partitions décrit ces parties, tandis qu’un système de fichiers dans une partition organise ses fichiers et ses répertoires. Une partition peut aussi contenir un espace d’échange, qui sert d’extension à la mémoire au lieu de stocker des fichiers ordinaires.

Déchiffre le nom du périphérique

Les disques SATA, SAS et USB utilisent généralement /dev/sda, /dev/sdb, etc. ; leurs partitions ajoutent un numéro, comme /dev/sdb1. Les noms NVMe contiennent déjà des chiffres, donc une partition ajoute p : /dev/nvme0n1p2 est la partition 2 de /dev/nvme0n1. Les périphériques SD et eMMC utilisent des noms comme /dev/mmcblk0p1 ; de nombreuses machines virtuelles utilisent /dev/vda1.

L’ordre de détection peut modifier ces noms. Identifie un disque à l’aide de plusieurs indices, sans te fier à la lettre qu’il avait hier :

lsblk -o NAME,SIZE,MODEL,RM,TYPE,MOUNTPOINTS
lsblk -f
sudo blkid
sudo fdisk -l

lsblk affiche le disque et ses partitions sous forme d’arborescence. RM=1 indique un périphérique marqué comme amovible ; TYPE distingue disk et part. Un point de montage / indique le système de fichiers racine. lsblk -f ajoute les types de systèmes de fichiers, les noms et les UUID. blkid fournit les identifiants et les types, tandis que fdisk -l affiche les bornes des partitions et le type de table. Ces commandes d’examen ne modifient aucune partition.

Distingue le type de table du type de système de fichiers

MBR autorise quatre partitions principales ; l’une peut être une partition étendue contenant des partitions logiques numérotées à partir de 5. Avec des secteurs de 512 octets, sa limite d’adressage est de 2 Tio. GPT prend en charge des disques plus grands et fournit couramment 128 entrées de partition. Les systèmes UEFI démarrent à l’aide d’une partition système EFI, formatée en FAT et souvent montée sur /boot/efi.

Debian et Ubuntu utilisent couramment ext4 ; RHEL utilise XFS par défaut ; Fedora Workstation et openSUSE utilisent couramment Btrfs. FAT32 apparaît sous le nom vfat dans Linux et ne peut pas contenir un seul fichier de 4 Gio ou plus. exFAT convient aux fichiers plus volumineux sur les supports amovibles ; NTFS est courant sur les disques Windows. L’existence d’une partition ne signifie pas à elle seule qu’elle possède déjà un système de fichiers.

Comprends les unités de taille

lsblk, df -h et du -h utilisent des unités binaires : G représente un Gio, soit 1 073 741 824 octets. Les fabricants de disques utilisent des Go décimaux, contenant chacun 1 000 000 000 octets. Ainsi, un disque contenant 500 107 862 016 octets apparaît sous la forme 465.8G ; 32 000 000 000 octets correspondent à environ 29.8G. lsblk -b affiche le nombre exact d’octets. Cette différence de notation ne correspond pas à une perte de capacité.

La préparation d’un nouveau disque vide demande une étape de partitionnement suivie de la création d’un système de fichiers, par exemple avec sudo mkfs.ext4 /dev/sdb1. Avant de modifier les partitions ou de formater, vérifie la cible à l’aide de sa taille, de son modèle et de son caractère amovible, confirme que ses données peuvent être détruites et démonte-la. fdisk -l se contente de lister ; fdisk en mode interactif écrit les modifications lorsque tu utilises w.

Le montage rattache un système de fichiers à un répertoire, son point de montage. Un système de fichiers monté sur /data devient accessible par des chemins comme /data/report.pdf. L’arborescence reste continue même lorsque plusieurs disques fournissent son contenu.

Monte et examine

Supposons que lsblk -f identifie /dev/sdb1 comme le système de fichiers que tu veux lire. Crée un répertoire de montage vide, puis monte-le :

sudo mkdir -p /mnt/usb
sudo mount /dev/sdb1 /mnt/usb
findmnt /mnt/usb

mount détecte généralement le type. Fournis -t ext4 lorsque tu dois l’indiquer explicitement. findmnt affiche TARGET, SOURCE, FSTYPE et OPTIONS. mount sans argument liste les montages, y compris les systèmes de fichiers virtuels ; df -h indique leur espace et lsblk affiche les points de montage à côté des périphériques en mode bloc.

Monter un système de fichiers sur un répertoire masque son contenu existant. Si /mnt/usb/local.txt s’y trouvait auparavant, il disparaît de la vue tant que le système de fichiers USB est monté et réapparaît après son démontage. Il n’a été ni copié sur le support ni effacé.

Choisis les options adaptées

Utilise -o pour une liste d’options séparées par des virgules. sudo mount -o ro /dev/sdb1 /mnt/usb interdit les écritures normales de fichiers par ce montage. C’est utile pour l’examen, même si le montage lui-même peut encore écrire sur le périphérique. rw autorise les écritures.

noexec empêche l’exécution directe des fichiers sur le système de fichiers monté. Cette option n’empêche pas un interpréteur de lire un script : bash /mnt/usb/script.sh peut toujours exécuter un script lisible. Considère-la comme une restriction de l’exécution directe, et non comme un obstacle complet à l’exécution du contenu.

FAT et exFAT ne stockent pas de propriétaires Unix. Lorsque root monte un tel support, indique le propriétaire souhaité par les options de montage. Vérifie les deux identifiants avec id -u et id -g. Si les deux affichent 1000 :

sudo mount -o uid=1000,gid=1000 /dev/sdb1 /mnt/usb
cp report.pdf /mnt/usb/

Cela définit le propriétaire et le groupe affichés par Linux pour le montage. La modification des droits avec chmod ne repose pas sur le même mécanisme de propriété que sur ext4.

Termine le travail

Quitte le système de fichiers et ferme les programmes qui l’utilisent, puis exécute :

sudo umount /mnt/usb

La commande s’écrit umount. Détache un support amovible avant de le retirer afin que les écritures en attente atteignent le support. Sur un poste de bureau, l’action Éjecter du gestionnaire de fichiers effectue cette opération.

Si la commande indique « target is busy », un processus utilise encore le système de fichiers. Un shell dont le répertoire courant est /mnt/usb suffit. Exécute cd dans ce shell, ferme les fichiers ouverts et réessaie. fuser -vm /mnt/usb ou lsof /mnt/usb aide à identifier ce qui utilise le système de fichiers.

Les systèmes de bureau organisent normalement le montage automatique des supports amovibles par udisks2, sous /media/USER/LABEL ou sous /run/media/USER/LABEL sur Fedora. Les serveurs s’appuient généralement sur les montages configurés au démarrage ou sur des commandes manuelles. Les montages peuvent aussi donner accès à un fichier image, à de la mémoire ou à un partage réseau. Par exemple, après avoir créé /mnt/iso, sudo mount -o loop,ro ubuntu.iso /mnt/iso présente une image ISO comme un répertoire.

Un montage manuel ne crée pas de règle de démarrage. /etc/fstab fournit ces règles, à raison d’une entrée par système de fichiers ou espace d’échange. Sur une machine utilisant systemd, un générateur transforme les entrées de systèmes de fichiers en unités de montage et celles d’espace d’échange en unités d’espace d’échange.

Lis les six champs

Un système de fichiers de données ext4 peut utiliser cette entrée :

UUID=3f2c9a1e-7b4d-4e8a-9c61-2d5f0b8e4a17 /data ext4 defaults,nofail 0 2

Des espaces ou des tabulations séparent les six champs. Des virgules séparent les options au sein d’un même champ ; ne mets pas d’espaces dans cette liste.

1. Source : un UUID, un nom ou un chemin de périphérique.
2. Point de montage : ici, /data.
3. Type : ici, ext4.
4. Options : ici, defaults,nofail.
5. Indicateur dump : normalement 0, ce qui désactive l’ancien indicateur de sauvegarde dump.
6. Ordre de vérification du système de fichiers : 1 pour la racine, 2 pour les autres systèmes de fichiers à vérifier, 0 pour ignorer la vérification ; XFS et Btrfs utilisent normalement 0.

Une ligne commençant par # est un commentaire. Une entrée d’espace d’échange utilise none comme champ de point de montage, le type swap, et se termine généralement par 0 0.

Choisis un identifiant durable

Trouve l’UUID du système de fichiers avec lsblk -f ou sudo blkid. Contrairement à un nom comme /dev/sdb1, l’UUID reste associé au système de fichiers lorsque l’ordre de détection des disques change. Un reformatage crée un nouveau système de fichiers avec un nouvel UUID : mets donc son entrée fstab à jour ensuite.

defaults comprend l’accès en lecture et écriture et le montage automatique. nofail permet au démarrage de continuer si un disque facultatif est absent. noauto ignore le montage automatique ; l’entrée peut toujours permettre un sudo mount /data ultérieurement. ro signifie lecture seule et noexec bloque l’exécution directe. user permet à un utilisateur ordinaire de monter le système de fichiers de l’entrée.

Ajoute et teste une entrée

Pour une partition de données ext4 déjà préparée :

sudo cp /etc/fstab /etc/fstab.bak
lsblk -f
sudo mkdir -p /data

Modifie /etc/fstab pour ajouter la ligne en utilisant l’UUID effectivement indiqué. Puis teste avant de redémarrer :

sudo findmnt --verify
sudo systemctl daemon-reload
sudo mount -a
findmnt /data

findmnt --verify vérifie la table, notamment les problèmes dans ses champs et ses sources. Le rechargement demande à systemd de relire la configuration modifiée. mount -a monte les entrées admissibles qui ne sont pas déjà montées. findmnt /data confirme ensuite la source, le type et les options actuelles. La réussite de mount -a ne signifie pas qu’une entrée noauto a été testée ; monte cette entrée explicitement.

La racine d’un système de fichiers ext4 nouvellement monté peut appartenir à root. Une fois le bon système de fichiers monté, sudo chown lee:lee /data donne à Lee la propriété de ce répertoire. Effectuer cette commande avant le montage modifierait à la place le répertoire sous-jacent servant de point de montage.

Un UUID incorrect, un mauvais type ou un périphérique requis indisponible peut interrompre le démarrage et laisser le système en mode d’urgence. Corrige ces erreurs pendant que le système fonctionne. systemctl list-units --type=mount affiche les unités de montage actives qui en résultent.

df indique l’espace des systèmes de fichiers montés. Il répond à la question « Quel est le taux d’occupation du système de fichiers qui contient ce chemin ? » Il n’additionne pas les fichiers propres à un répertoire. Cette différence te permet d’identifier le stockage concerné avant de rechercher ses éléments les plus volumineux.

Lis un rapport d’espace

Utilise df -h /var/log pour examiner le système de fichiers qui contient le répertoire des journaux. Un rapport peut afficher :

Filesystem Size Used Avail Use% Mounted on
/dev/vda1   98G  61G   32G  66% /
/dev/vdb1  916G 210G  660G  25% /data

Ici, les journaux sous /var/log utilisent le système de fichiers racine, sauf si un système de fichiers distinct y est monté. L’espace libre du système de fichiers /data ne peut pas servir à une écriture dans /var/log simplement parce que les deux appartiennent au même ordinateur.

Les colonnes indiquent la taille du système de fichiers, l’espace utilisé, l’espace disponible pour les utilisateurs ordinaires, le pourcentage d’utilisation et le point de montage. GNU df calcule Use% en divisant Used par la somme de Used et Avail, puis en arrondissant à l’entier supérieur. Pour l’exemple de la racine, 61 divisé par 93 vaut environ 65,6 %, affiché sous la forme 66%. Les valeurs en unités lisibles sont elles-mêmes arrondies.

Size peut dépasser Used + Avail. Un système de fichiers ext4 réserve normalement 5 % de ses blocs à root, ce qui aide les services essentiels à continuer de fonctionner lorsque les utilisateurs remplissent le reste. Cinq pour cent de 98G représentent environ 4,9G. Ces blocs réservés inutilisés sont exclus de Avail pour les utilisateurs ordinaires ; ils ne sont pas des données de fichiers comptées dans Used. La réserve peut être ajustée avec tune2fs -m, par exemple à 1 % pour un grand système de fichiers de données. Les métadonnées utilisent aussi de l’espace.

Choisis un affichage utile

df -h utilise les unités binaires K, M et G. df -H utilise les puissances décimales de 1000. df sans option affiche normalement des blocs de 1024 octets, et df -T ajoute le type de système de fichiers. Pour réduire le nombre d’entrées de systèmes de fichiers en mémoire :

df -h -x tmpfs -x devtmpfs

Une entrée tmpfs correspond à un stockage en mémoire, tandis que efivarfs donne accès aux variables du micrologiciel. free mesure la RAM et l’espace d’échange ; il ne peut donc pas remplacer df pour la capacité du disque. lsblk indique la taille d’un disque ou d’une partition, et non l’espace libre de son système de fichiers.

Vérifie aussi les enregistrements de fichiers

Un inode est un enregistrement du système de fichiers pour un fichier ou un répertoire. Les noms reliés par des liens physiques partagent un même enregistrement. Un système de fichiers ext4 dispose d’un nombre fixe d’inodes, créés avec le système de fichiers. Un très grand nombre de petits fichiers peut les consommer tout en laissant des gigaoctets d’espace de données inutilisés.

df -i /var/log

Lis IUsed, IFree et IUse%. Si IFree vaut zéro, la création d’un nouveau fichier peut échouer avec « No space left on device », même si df -h indique de l’espace libre. Supprimer quelques gros fichiers libère des blocs mais très peu d’inodes ; nettoyer de nombreux fichiers de session ou de cache inutiles remédie à l’épuisement des inodes.

Lorsque le stockage racine se remplit, les bases de données peuvent s’arrêter, les journaux ne plus être écrits, les mises à jour échouer et les connexions devenir impossibles. Vérifie rapidement df -h PATH et df -i PATH. Les rapports indiquent quelle ressource est épuisée et quel système de fichiers monté nécessite ton attention.

Une fois que df a identifié le système de fichiers plein, utilise du pour trouver les répertoires qui l’occupent. Examine avant de supprimer : l’état des applications et les fichiers de cache remplaçables peuvent être volumineux pour des raisons très différentes.

Descends dans l’arborescence

sudo du -h -d 1 /var | sort -h
sudo du -sh /var/log

-d 1 donne les totaux un niveau de répertoire plus bas et -s affiche un seul total. sort -h comprend les tailles comme 900M et 2.1G. Utilise sudo pour inclure les répertoires que ton compte ordinaire ne peut pas lire. Si /var/log est volumineux, répète la première commande à cet endroit pour localiser le sous-répertoire qui grossit.

du -sh * ignore les noms qui commencent par un point, car le motif * du shell ne leur correspond pas. du -h -d 1 ~ | sort -h inclut les répertoires cachés, comme .cache et .local, lors de l’examen d’un répertoire personnel.

Pour localiser les fichiers individuels volumineux sur le système de fichiers racine :

sudo find / -xdev -type f -size +500M 2>/dev/null

-xdev reste sur le système de fichiers de départ ; -type f sélectionne les fichiers ordinaires ; M signifie ici Mio. ls -lhS trie les fichiers d’un répertoire du plus volumineux au moins volumineux.

Comprends les différences entre les totaux

ls -l indique la longueur logique d’un fichier. du compte normalement le stockage alloué. Un fichier contenant « hi » et un saut de ligne a une longueur de 3 octets, mais peut occuper un bloc de 4 Kio, affiché sous la forme 4.0K. Une image de disque virtuel creuse peut avoir une grande longueur logique tout en consommant beaucoup moins d’espace réel. du --apparent-size indique les longueurs logiques à la place.

Une utilisation indiquée par df supérieure à celle obtenue en parcourant un répertoire peut aussi provenir de répertoires illisibles, de fichiers masqués sous des points de montage ou de fichiers supprimés encore ouverts. Supprimer un nom ne libère pas les données tant qu’un processus garde le fichier ouvert.

Par exemple, supprimer un journal d’application actif de 20G peut laisser le résultat de df inchangé. Examine ces fichiers avec sudo lsof +L1. Le redémarrage du service qui possède le fichier libère ce fichier ouvert, ce qui permet de récupérer l’espace. Pour vider un journal actif dont tu sais que le contenu peut être supprimé, sans laisser un fichier ouvert sans lien, sudo truncate -s 0 /var/log/app/app.log conserve le nom et le fichier en place. Cette commande efface le contenu enregistré.

Utilise le programme responsable des données pour les nettoyer

Les outils de gestion des paquets savent quels fichiers téléchargés peuvent être remplacés. Utilise sudo apt clean sur Debian ou Ubuntu, ou sudo dnf clean all sur Fedora ou RHEL. Examine les modifications proposées par apt autoremove ou dnf autoremove avant de supprimer les paquets inutilisés. Vide tes téléchargements indésirables et ta corbeille. Ne supprime pas manuellement des fichiers de /usr, /boot ou /var/lib pour faire de la place.

Si le journal grossit, sudo journalctl --vacuum-size=1G supprime les anciens fichiers de journal archivés jusqu’à ce que leur taille totale respecte la limite. Les fichiers actifs peuvent maintenir l’occupation totale du journal au-dessus de cette taille. Pour un contrôle durable, définis SystemMaxUse=1G dans /etc/systemd/journald.conf et redémarre systemd-journald.

Après le nettoyage, exécute à nouveau df -h PATH ou df -i PATH pour confirmer que la ressource qui a causé l’échec est de nouveau disponible. Si le journal systemd ou un autre journal grossit à répétition, examine les messages à l’origine de cette croissance ainsi que ses paramètres de conservation.

Une interface réseau est un point de connexion par lequel le noyau envoie du trafic. Elle peut être Ethernet, Wi-Fi, de bouclage ou une connexion virtuelle comme un VPN. Des noms comme enp0s3, eno1 et wlp2s0 désignent des cartes physiques ; lo est l’interface de bouclage. Certains systèmes virtuels et cloud utilisent eth0.

Lis une adresse IPv4 et son préfixe

Les interfaces Ethernet et Wi-Fi possèdent une adresse MAC de 48 bits, écrite sous forme de six paires hexadécimales et utilisée pour l’acheminement sur le réseau local. Une adresse IP identifie un hôte pour communiquer à travers les réseaux. Une interface peut avoir plusieurs adresses IP.

IPv4 comporte 32 bits, écrits sous forme de quatre nombres de 0 à 255. Dans 192.168.1.50/24, les 24 premiers bits identifient le réseau et huit bits restent pour les adresses qu’il contient. Le réseau est 192.168.1.0/24, avec le masque 255.255.255.0.

Ces huit bits fournissent 256 adresses. La première désigne le réseau et la dernière, 192.168.1.255, est son adresse de diffusion, ce qui laisse 254 adresses pour les hôtes. Un /26 possède six bits pour les hôtes : 64 adresses au total et 62 adresses ordinaires pour les hôtes. /24 compte les bits de réseau, pas les machines.

Les plages privées sont 10.0.0.0/8, 172.16.0.0/12 et 192.168.0.0/16. Elles ne sont pas routées publiquement ; un routeur domestique utilise couramment NAT pour traduire le trafic privé vers son adresse publique. 127.0.0.1 est l’adresse de bouclage, qui désigne la machine exécutant la commande. Une adresse locale au lien 169.254.x.x indique souvent un échec de configuration DHCP. La documentation utilise 192.0.2.0/24, 198.51.100.0/24 et 203.0.113.0/24.

Reconnais IPv6

IPv6 comporte 128 bits répartis en huit groupes hexadécimaux. Supprime les zéros initiaux d’un groupe et remplace une suite de groupes de zéros par :: : 2001:0db8:0000:0000:0000:0000:0000:0042 devient 2001:db8::42. Utilise :: une seule fois dans une adresse. ::1 est l’adresse de bouclage ; les adresses fe80: sont locales au lien sur les liaisons Ethernet et Wi-Fi où IPv6 est activé. Les réseaux IPv6 locaux utilisent couramment /64, et un hôte possède souvent plusieurs adresses.

Atteins les réseaux et les services

Un hôte envoie directement le trafic aux destinations situées sur un réseau directement connecté. Sa passerelle par défaut prend en charge les destinations pour lesquelles il n’existe pas de route plus précise. La passerelle est un routeur accessible sur le lien local. Sans route correspondante ni route par défaut, les autres réseaux sont inaccessibles.

Un port identifie un service à une adresse : SSH utilise TCP 22, DNS utilise UDP et TCP 53, HTTP utilise TCP 80 et HTTPS utilise couramment TCP 443. TCP fournit des connexions fiables ; UDP transporte des messages indépendants. Une extrémité de socket associe une adresse et un port, comme 192.168.1.50:22.

Obtiens ou définis la configuration

DHCP pour IPv4 attribue pour une durée limitée une adresse, un préfixe, une passerelle et des paramètres DNS. La configuration statique définit des valeurs fixes, couramment pour les serveurs. SLAAC en IPv6 forme une adresse à partir des informations annoncées par un routeur. DHCPv6 peut fournir des adresses IPv6 et des serveurs DNS ; les informations sur le routeur IPv6 par défaut proviennent des annonces des routeurs. Une adresse DHCPv6 ne fournit pas à elle seule cette route.

La commande ip affiche l’état actuel du réseau. Ses objets décrivent différentes parties : addr pour les adresses, link pour l’état des interfaces, route pour le routage et neigh pour les voisins locaux. ss affiche les sockets et leurs services à l’écoute.

Examine une interface

ip -br addr
ip addr show dev enp0s3
ip link show

L’affichage abrégé peut montrer enp0s3 UP 192.168.1.50/24 fe80::a00:27ff:fe3a:5c71/64. L’interface est activée, avec une adresse IPv4 et une adresse IPv6 locale au lien. La sortie plus détaillée sépare ces champs :

link/ether 08:00:27:3a:5c:71 brd ff:ff:ff:ff:ff:ff
inet 192.168.1.50/24 brd 192.168.1.255 scope global dynamic enp0s3
inet6 fe80::a00:27ff:fe3a:5c71/64 scope link

link/ether donne l’adresse MAC. inet introduit IPv4 et inet6 introduit IPv6. La valeur IPv4 brd est l’adresse de diffusion, pas la passerelle. dynamic indique une adresse attribuée dynamiquement et valid_lft indique combien de temps elle reste valide. UP est l’état administratif ; LOWER_UP indique un lien fonctionnel au niveau inférieur.

ip -4 addr et ip -6 addr sélectionnent une famille d’adresses. ip link omet les adresses IP. hostname -I affiche les adresses configurées de la machine. Ne choisis pas 127.0.0.1 lorsque tu donnes à un autre ordinateur une adresse pour cet hôte.

Lis la route séparément

default via 192.168.1.1 dev enp0s3 proto dhcp src 192.168.1.50 metric 100
192.168.1.0/24 dev enp0s3 proto kernel scope link src 192.168.1.50 metric 100

ip route show produit ce type de sortie. Le réseau local 192.168.1.0/24 est directement accessible par enp0s3. Les autres destinations utilisent la passerelle 192.168.1.1 selon la route par défaut. proto dhcp indique d’où vient cette route ; src fournit l’adresse source préférée.

Utilise ip route get 203.0.113.10 pour examiner le chemin sélectionné vers une destination. ip -6 route show liste les routes IPv6. ip neigh affiche les associations locales apprises entre adresses IP et MAC ; une entrée FAILED pour la passerelle signifie que la résolution du voisin n’a pas reçu la réponse locale nécessaire.

Vérifie où un service écoute

sudo ss -tulnp

Les options indiquent TCP, UDP, l’écoute, les adresses numériques et les détails des processus. Lis la colonne adresse locale. 0.0.0.0:22 accepte le trafic sur toutes les adresses IPv4 locales, tandis que 127.0.0.1:5432 est réservé à la machine locale. [::]:80 désigne toutes les adresses IPv6. L’écoute n’est qu’une des conditions ; l’accessibilité réseau et les règles d’accès comptent aussi. ss -tn liste les connexions TCP en cours sans sélectionner uniquement les sockets à l’écoute.

Les anciens guides utilisent ifconfig, route, arp et netstat. Leurs équivalents actuels sont ip addr/ip link, ip route, ip neigh et ss. L’absence de ifconfig indique un outil manquant, pas un réseau défaillant. Les formes courtes comme ip a, ip r et ip l sont des abréviations acceptées.

Une commande temporaire et un profil réseau enregistré ont des usages différents. ip modifie immédiatement l’état du noyau en cours d’exécution ; le gestionnaire réseau de la distribution rétablit les paramètres enregistrés au démarrage et peut remplacer les modifications temporaires avant cela.

Effectue une modification temporaire

Sur une interface d’entraînement nommée enp0s8 :

sudo ip link set dev enp0s8 up
sudo ip addr add 192.168.50.10/24 dev enp0s8
sudo ip route add default via 192.168.50.1

Indique le préfixe. Sans /24, une adresse IPv4 ajoutée reçoit /32, donc la route attendue vers le réseau local /24 est absente. ip addr del supprime l’adresse indiquée, ip route del default supprime la route par défaut et ip link set ... down désactive l’interface.

Modifier l’interface qui transporte une session SSH distante peut te déconnecter. Pour cette opération, utilise un accès à la console ou un outil de configuration capable de revenir en arrière.

Enregistre les paramètres avec le gestionnaire actif

Fedora, RHEL et de nombreux postes de bureau utilisent NetworkManager. Trouve le profil avec nmcli device status, puis modifie le nom de sa connexion :

sudo nmcli connection modify "Wired connection 1" ipv4.method manual ipv4.addresses 192.168.1.60/24 ipv4.gateway 192.168.1.1 ipv4.dns 192.168.1.1
sudo nmcli connection up "Wired connection 1"

Définir ipv4.method auto rétablit DHCP pour le profil. Ubuntu utilise couramment les fichiers YAML de netplan sous /etc/netplan/ ; d’autres systèmes utilisent les fichiers .network de systemd-networkd ou /etc/network/interfaces d’ifupdown sur Debian. Les systèmes cloud s’appuient souvent sur DHCP et cloud-init.

Une configuration statique netplan peut se présenter ainsi :

network:
  version: 2
  ethernets:
    enp0s3:
      dhcp4: false
      addresses: [192.168.1.60/24]
      routes:
        - to: default
          via: 192.168.1.1
      nameservers:
        addresses: [192.168.1.1]

Utilise des espaces pour l’indentation. sudo netplan try applique la configuration avec un délai de confirmation de 120 secondes avant de revenir en arrière. sudo netplan apply l’applique directement.

Teste une couche à la fois

Commence par ip -br link, puis ip -br addr, puis ip route. L’absence de lien actif, d’adresse appropriée et de route par défaut sont des pannes différentes. Teste la passerelle avec ping -c 3 192.168.1.1, puis une adresse externe, puis un nom. Le nombre indiqué par -c fait arrêter ping sous Linux après un nombre fixe de requêtes ; sinon, utilise Ctrl+C.

Une réponse indique le temps aller-retour, tandis que le bilan indique la perte de paquets. L’absence de réponse à l’écho peut résulter d’un filtrage ICMP, mais aussi d’un hôte arrêté ou d’une route défaillante. Si une adresse fonctionne mais qu’un nom produit « Temporary failure in name resolution », examine la recherche de noms. Si ping affiche l’adresse résolue puis ne reçoit aucune réponse, la recherche a déjà réussi.

tracepath ou traceroute affiche les routeurs qui répondent sur le chemin. Teste aussi l’application elle-même : curl -I https://example.com demande les en-têtes HTTP. Si une requête web locale réussit mais que les requêtes distantes échouent, examine sudo ss -tlnp. Un service lié à 127.0.0.1:80 nécessite une adresse d’écoute accessible depuis le réseau pour être utilisé à distance, ainsi que les règles d’accès réseau nécessaires.

Les noms permettent d’utiliser web1.example.com sans mémoriser une adresse. DNS, le système de noms de domaine, stocke les enregistrements dans une hiérarchie distribuée de domaines. Un nom d’hôte court comme web1 désigne une machine ; son nom de domaine pleinement qualifié l’identifie dans l’ensemble de la hiérarchie.

Reconnais ce que fournit un enregistrement

Les serveurs DNS utilisent le port 53 aussi bien en UDP qu’en TCP. La durée de vie (TTL) d’un enregistrement indique aux caches pendant combien de secondes ils peuvent le conserver. Un TTL de 3600 correspond à une heure. Modifier un enregistrement ne supprime pas instantanément l’ancienne réponse de tous les caches.

Le résolveur est la partie cliente de la recherche de noms : du code de bibliothèque et souvent un service comme systemd-resolved. Ses serveurs de noms configurés sont généralement des résolveurs récursifs exploités par un routeur, un fournisseur, une organisation ou un service public. Ils trouvent les réponses et les mettent en cache pour les clients.

Vérifie l’ordre des sources du système

Les applications Linux utilisent généralement les sources de recherche configurées par la ligne hosts: de /etc/nsswitch.conf. Voici un exemple simple :

hosts: files dns

Ici, files désigne /etc/hosts, consulté avant DNS. D’autres installations comprennent des sources comme resolve ou mdns4_minimal. Lis la ligne effective lorsque tu compares deux systèmes.

/etc/hosts contient une adresse suivie de son nom principal et d’alias facultatifs :

127.0.0.1 localhost
::1 localhost ip6-localhost
192.168.1.20 nas.home.arpa nas

Avec l’ordre de recherche indiqué, nas est résolu en 192.168.1.20 sur cet ordinateur. home.arpa est réservé aux réseaux domestiques. Les modifications du fichier hosts prennent effet sans redémarrage, mais elles ne concernent que la machine dont tu modifies le fichier. Le fichier n’accepte ni caractères génériques ni numéros de port : 192.168.1.20:8080 nas est invalide.

Utilise les entrées locales à bon escient

Une entrée du fichier hosts peut nommer un périphérique sur un petit réseau ou diriger ton ordinateur vers un serveur web de remplacement avant la modification du DNS public. Associer un nom à 0.0.0.0 sert aussi à le bloquer localement. Chaque usage modifie la recherche d’adresse, et non le port ou la configuration du service.

Supposons qu’un site web change d’adresse et fonctionne sur d’autres machines, mais pas sur la tienne. Une ancienne entrée /etc/hosts peut continuer à envoyer ton navigateur vers son adresse précédente même si DNS est correct. Compare l’entrée locale à la destination actuelle souhaitée avant de modifier les routes réseau.

Le nom d’hôte propre à la machine est un paramètre distinct. hostname l’affiche ; sudo hostnamectl set-hostname web1 le modifie. /etc/hostname stocke le nom configuré. Debian et Ubuntu l’associent aussi couramment à une adresse dans /etc/hosts, par exemple 127.0.1.1 web1. Après un changement de nom, mets aussi cette association à jour. Une incohérence peut provoquer l’avertissement « unable to resolve host web1 » lors de l’utilisation de sudo. Modifier ton nom d’hôte ne crée pas d’enregistrement DNS public pour celui-ci.

Utilise un test adapté à la question posée. Une requête directe vérifie la réponse d’un serveur DNS. Une recherche système vérifie les sources normalement utilisées par les applications Linux, qui peuvent comprendre des fichiers locaux en plus de DNS.

Lis la configuration du résolveur

/etc/resolv.conf peut contenir nameserver 192.168.1.1 et search example.com. La ligne nameserver indique un serveur DNS ; le suffixe de recherche permet d’essayer un nom court comme web1 sous la forme web1.example.com. Le résolveur traditionnel utilise jusqu’à trois serveurs de noms configurés, normalement dans l’ordre. Des options permettent de régler le délai d’attente et les nouvelles tentatives.

Ce fichier est souvent généré par un service réseau. Un commentaire ou un lien symbolique indique quel service le gère. Les modifications directes peuvent disparaître à la prochaine mise à jour du réseau ; modifie donc les valeurs DNS enregistrées par NetworkManager, netplan ou le gestionnaire actif.

Sur un système utilisant systemd-resolved, le fichier est couramment lié à /run/systemd/resolve/stub-resolv.conf et indique 127.0.0.53. Il s’agit d’un résolveur stub DNS local, et non d’un serveur externe remplacé accidentellement par le bouclage. Il transmet les requêtes et met les réponses en cache. Utilise :

resolvectl status
resolvectl query example.com
resolvectl flush-caches

La première commande affiche les véritables serveurs DNS en amont, y compris les paramètres propres à chaque interface. Vide le cache lorsque tu dois éliminer les résultats mis en cache pendant l’examen d’une modification.

Choisis l’outil de recherche

host web1.example.com interroge DNS pour obtenir un nom. host 203.0.113.10 effectue une recherche inverse ; host -t MX example.com demande les enregistrements de messagerie. dig example.com A +short affiche une réponse IPv4 compacte et dig @1.1.1.1 example.com A sélectionne explicitement un serveur DNS. nslookup est un outil plus ancien de requête DNS. Ces outils sont généralement fournis dans le paquet dnsutils ou bind-utils.

getent hosts nas suit l’ordre de recherche du système défini dans /etc/nsswitch.conf, comme le font la plupart des applications. dig, host et nslookup ne lisent pas eux-mêmes /etc/hosts. Cependant, une requête au résolveur stub de systemd-resolved peut renvoyer une réponse que le service obtient de ce fichier. Sélectionne explicitement un serveur en amont connu lorsque tu veux comparer ses données DNS à la recherche locale.

Interprète le résultat avant de modifier les paramètres

NXDOMAIN signifie que le serveur DNS interrogé a répondu que le nom n’existe pas. SERVFAIL signifie que le serveur n’a pas pu terminer la recherche. Une expiration du délai signifie qu’aucune réponse exploitable n’est arrivée à temps. « Name or service not known » renvoyé par un programme est une erreur de recherche système, et non en soi un code de réponse DNS.

Supposons qu’un ping vers une adresse externe réussisse, mais que la recherche de example.com signale un échec temporaire. Examine le résolveur configuré et compare une requête directe à celui-ci avec une requête à un autre résolveur connu. Une réponse valide du second serveur oriente le diagnostic vers le serveur configuré, le chemin qui y mène ou les paramètres du résolveur local. Si les deux échouent, distingue les réponses d’erreur effectives des expirations de délai avant de mettre en cause un pare-feu. Le trafic DNS et le ping ICMP sont des trafics différents, même lorsqu’ils utilisent le même réseau.

SSH, Secure Shell, chiffre les sessions distantes et les transferts de fichiers. Le client ssh se connecte à sshd, normalement sur le port TCP 22. OpenSSH est l’implémentation habituelle sous Linux. Des outils plus anciens comme telnet et FTP exposent les mots de passe en texte brut.

Vérifie le serveur et ouvre la session distante

Connecte-toi avec ssh lee@web1.example.com ; omets lee@ pour utiliser ton nom d’utilisateur local. Pour un autre port, utilise ssh -p 2222 lee@web1.example.com. Vérifie l’identité de la machine distante avant d’exécuter des commandes ; exit ou Ctrl+D ramène au shell local.

Lors du premier contact, SSH affiche une empreinte de clé d’hôte. Compare-la par un canal de confiance avec celle fournie par l’administrateur du serveur ou le fournisseur. L’administrateur peut l’afficher avec ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub. L’accepter enregistre la clé dans ton fichier ~/.ssh/known_hosts pour les comparaisons ultérieures.

Un avertissement de changement de clé d’hôte signifie que l’identité présentée diffère de celle enregistrée. Une reconstruction du serveur ou une adresse réutilisée peut l’expliquer, mais un attaquant aussi. Vérifie d’abord la nouvelle empreinte. Une fois le changement confirmé, ssh-keygen -R 203.0.113.10 supprime l’ancienne entrée de cette adresse afin que tu puisses te connecter et enregistrer la nouvelle.

Exécute une commande sans rester connecté

ssh lee@web1.example.com 'df -h /'

La commande s’exécute à distance, sa sortie apparaît localement et la connexion se termine. Un tube local placé à sa suite peut traiter cette sortie. Les programmes qui nécessitent un terminal, dont sudo en mode interactif, peuvent utiliser ssh -t, par exemple ssh -t lee@web1.example.com sudo systemctl restart nginx.

Choisis un outil de transfert

scp report.pdf lee@web1.example.com:/home/lee/ envoie un fichier. scp lee@web1.example.com:/home/lee/results.csv . télécharge un fichier dans le répertoire local courant. Les deux-points indiquent le chemin distant ; sans eux, lee@web1.example.com est un nom de fichier local. -r copie les répertoires et -P 2222 sélectionne un port, avec un P majuscule. Les versions actuelles de scp utilisent SFTP en interne.

sftp lee@web1.example.com ouvre une session interactive. Utilise get pour télécharger, put pour envoyer, cd pour le répertoire distant, lcd pour le répertoire local et bye pour terminer. Pour copier régulièrement un répertoire, rsync -av site/ lee@web1.example.com:/srv/site/ envoie les modifications via SSH ; rsync doit être installé aux deux extrémités.

Stocke les paramètres de connexion récurrents dans ~/.ssh/config :

Host web1
    HostName 203.0.113.10
    User lee
    Port 2222
    IdentityFile ~/.ssh/id_ed25519

Ensuite, ssh web1 et scp notes.txt web1: utilisent ces paramètres.

Identifie l’étape de l’échec

« Connection refused » indique un refus actif, généralement parce que rien n’écoute sur le port choisi. Une expiration du délai signifie qu’aucune réponse n’est arrivée ; les causes possibles comprennent le routage, le filtrage ou un hôte arrêté. « Permission denied (publickey) » signifie que la connexion a atteint l’étape d’authentification, mais que ton compte ou la clé proposée n’a pas été accepté. ssh -v affiche la progression de la connexion et de l’authentification afin que tu puisses examiner l’étape qui a échoué.

L’authentification par clé prouve que ton client possède une clé privée correspondant à une clé publique autorisée. Le client signe des données d’authentification ; il n’envoie pas la clé privée au serveur. Les deux fichiers ont donc des destinations et des besoins de protection différents.

Génère et protège la paire

Sur ton ordinateur :

ssh-keygen -t ed25519 -C "lee@laptop"

Choisis une phrase de passe lorsque la commande te le demande. Les fichiers par défaut sont ~/.ssh/id_ed25519, la clé privée, et ~/.ssh/id_ed25519.pub, la clé publique. Le texte de -C est un commentaire d’identification. Ed25519 est le type par défaut de ssh-keygen depuis OpenSSH 9.5 ; l’indiquer explicitement rend l’exemple clair. Pour un serveur plus ancien nécessitant RSA, ssh-keygen -t rsa -b 4096 génère une clé RSA de 4096 bits.

Une phrase de passe chiffre le fichier de clé privée. Elle protège la clé stockée si quelqu’un obtient le fichier ; elle est différente du mot de passe du compte distant. Les tâches automatisées utilisent parfois des clés sans phrase de passe, avec des droits de compte limités. Garde la clé privée sur le client et tiens-la secrète.

Un agent SSH conserve les clés déverrouillées en mémoire pour que tu n’aies pas à ressaisir la phrase de passe à chaque connexion. Les sessions de bureau démarrent couramment un agent. Ajoute la clé avec ssh-add ~/.ssh/id_ed25519 et saisis sa phrase de passe lorsqu’elle est demandée.

Autorise la clé publique sur un compte

ssh-copy-id lee@web1.example.com

Après authentification sur le compte de Lee sur le serveur, la commande ajoute une clé publique à la fin de ~/.ssh/authorized_keys dans ce compte. Si plusieurs clés clientes existent, ssh-copy-id -i ~/.ssh/id_ed25519.pub lee@web1.example.com sélectionne explicitement la clé publique. Le provisionnement cloud peut l’installer lors de la création du serveur.

Chaque ligne d’authorized_keys contient un type de clé, les données encodées de la clé publique et généralement un commentaire. Plusieurs clés peuvent autoriser des appareils ou des personnes distincts. Une clé dans le fichier de Lee donne accès au compte de Lee, pas à celui de root. Supprimer sa ligne révoque cette clé à cet endroit ; après une fuite, supprime sa clé publique de tous les serveurs concernés.

Vérifie le propriétaire, le groupe et les droits

Sur le serveur, dans le compte voulu :

chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Ne rends pas le répertoire personnel accessible en écriture au groupe ou aux autres. Avec les vérifications strictes habituelles, sshd rejette les fichiers d’autorisation ou les répertoires parents dont les droits d’écriture ne sont pas sûrs. Sur le client, le mode 600 protège la clé privée ; des droits trop ouverts peuvent produire « UNPROTECTED PRIVATE KEY FILE! » Le fichier public .pub peut être lisible en mode 644.

Confirme le fonctionnement de la connexion

Ouvre une nouvelle connexion avec ssh lee@web1.example.com. Une demande de phrase de passe déverrouille la clé privée locale ; un agent dans lequel la clé est déjà chargée peut rendre cette saisie inutile. Dans la sortie détaillée, cherche une authentification réussie avec « publickey ».

Si la connexion échoue, vérifie d’abord le nom du compte, puis son entrée de clé publique, son propriétaire, son groupe et ses droits, puis la clé proposée par le client. ssh -i ~/.ssh/other_key lee@web1.example.com sélectionne une clé privée particulière ; IdentityFile intègre cette sélection à une configuration d’hôte enregistrée. Générer une autre clé ne répare pas une entrée d’autorisation manquante pour la clé existante.

Le programme serveur est sshd, fourni par openssh-server. Debian et Ubuntu appellent son service systemd ssh ; Fedora, RHEL, openSUSE et Arch l’appellent généralement sshd. Utilise le nom fourni par ta distribution pour vérifier l’état du service, activer son démarrage ou le recharger.

Identifie la configuration effective

Installe-le avec sudo apt install openssh-server ou sudo dnf install openssh-server. Pour un service Fedora ou RHEL, sudo systemctl enable --now sshd le démarre et active son démarrage automatique. systemctl status sshd indique son état.

Le serveur lit /etc/ssh/sshd_config. /etc/ssh/ssh_config est destiné au client. De nombreux systèmes incluent /etc/ssh/sshd_config.d/*.conf près du début du fichier serveur. Pour la plupart des directives, la première valeur lue l’emporte. Ajouter une valeur différente à la fin du fichier principal peut ne produire aucun effet.

Utilise sudo sshd -T pour afficher les paramètres effectifs. Si la commande affiche passwordauthentication yes malgré un no ultérieur, vérifie les fichiers inclus. Sur une image cloud Ubuntu, 50-cloud-init.conf peut fournir la valeur lue en premier. L’ajout d’un fichier applicable lu plus tôt, comme 10-no-passwords.conf, ou la modification du paramètre qui fait autorité doit être suivi d’une validation et d’un rechargement.

Impose l’authentification souhaitée

Une fois l’authentification par clé fonctionnelle, ces paramètres établissent un accès uniquement par clé :

PubkeyAuthentication yes
PasswordAuthentication no
KbdInteractiveAuthentication no
AuthenticationMethods publickey
PermitRootLogin no

Le premier active les clés. Les deux suivants désactivent les méthodes par mot de passe et interactive au clavier, qui peuvent toutes deux accepter des mots de passe. AuthenticationMethods publickey impose explicitement l’authentification par clé publique. PermitRootLogin no bloque la connexion SSH de root ; les administrateurs se connectent avec leur propre compte et utilisent sudo. La valeur par défaut prohibit-password est différente : elle autorise encore la connexion de root par clé. AllowUsers lee deploy permet de limiter les comptes autorisés à se connecter.

Applique et teste en toute sécurité

Garde la session fonctionnelle ouverte et confirme que l’authentification par clé fonctionne dans un second terminal avant de supprimer l’accès par mot de passe. Après modification :

sudo sshd -t
sudo systemctl reload sshd

Utilise reload ssh sur Debian ou Ubuntu. sshd -t n’affiche rien lorsque la configuration est valide ; corrige les erreurs avant le rechargement. Un rechargement conserve les sessions existantes : une nouvelle connexion permet donc de tester la politique modifiée. Garde l’ancienne session jusqu’à ce que ce test réussisse.

Vérifie les accès et les journaux

journalctl -u sshd ou journalctl -u ssh affiche les tentatives. Les fichiers journaux traditionnels comprennent /var/log/auth.log sur Debian et Ubuntu et /var/log/secure sur RHEL. Les tentatives répétées de connexion par mot de passe avec un utilisateur invalide sont courantes sur les serveurs accessibles depuis Internet ; l’accès uniquement par clé supprime la possibilité de se connecter en devinant un mot de passe.

Autorise le service SSH dans le pare-feu actif : sudo ufw allow OpenSSH sur Ubuntu, ou sudo firewall-cmd --permanent --add-service=ssh sur Fedora et RHEL, suivi de sudo firewall-cmd --reload. Une règle du fournisseur cloud doit aussi autoriser le port d’écoute. Déplacer SSH vers le port 2222 peut réduire le nombre de messages dus aux analyses de ports, mais les clés, les connexions restreintes et les mises à jour d’OpenSSH fournissent la véritable protection.