Serveur orangepi-raspberry nextcloud en photovoltaïque autonome

Aurelpere

https://wiki.lowtechlab.org/wiki/Serveur_orangepi-raspberry_nextcloud_en_photovolta%C3%AFque_autonome

Dernière modification le 21/08/2023

Difficulté

Medium Moyen

Durée

3 hour(s) heure(s)

Coût

210 EUR (€)

Description

Tutoriel pour mettre en place un serveur nextcloud (équivalent drive google mais libre et adapté à l'organisation collective) sur un ordinateur monocarte autonome (alimenté en photovoltaïque avec stockage) Ce tutoriel n'est pas tout à fait "lowtech" en première approche dans la mesure où il s'agit d'informatique et de photovoltaique. Cependant, il se veut le plus didactique possible et rejoint la philosophie lowtech de partager les savoirs faires, éviter la tech inaccessible par la rétention d'information, la complexification by design ou la dépendance propriétaire by design. Nextcloud (service accessible sur framasoft ici : https://www.frama.space/abc/fr/) est un service assez cool pour s'organiser à plusieurs et permet de partager des fichiers, avoir un annuaire, un chat, de travailler en cooperation sur des fichiers libreoffice voire même de faire des visios. On peut aussi imaginer des infokiosques mobiles sur ce principe. Le tuto remet en question le marché des vpns, le photovoltaique avec stockage neuf et cher (en réalité le photovoltaique est devenu trop competitif face au pétrole et encore plus face au nucléaire!), et le marché des gafam et leur design de surveillance nocif pour la confiance et le lien social. Les commandes sont celles pour un systeme debian

Sommaire

debian, photovoltaique, nextcloud, ordinateur monocarte, orange pi

---

Introduction

Ce tutoriel est fait pour mettre en place un serveur nextcloud (équivalent drive google mais libre et adapté à l'organisation collective) sur un ordinateur monocarte autonome (de type raspberry pi et alimenté en photovoltaïque avec stockage).

Ce tutoriel n'est pas tout à fait "lowtech" en première approche dans la mesure où il s'agit d'informatique et de photovoltaique.

Cependant, il se veut le plus didactique possible et rejoint la philosophie lowtech de partager les savoirs faires, éviter la tech inaccessible par la rétention d'information, la complexification by design ou la dépendance propriétaire by design.

Nextcloud (service accessible sur framasoft ici : https://www.frama.space/abc/fr/) est un service assez cool pour s'organiser à plusieurs et permet de partager des fichiers, avoir un annuaire, un chat, de travailler en cooperation sur des fichiers libreoffice voire même de faire des visios.

On peut aussi imaginer des infokiosques mobiles sur ce principe.

Le tuto remet en question le marché des vpns, le photovoltaique avec stockage neuf et cher (en réalité le photovoltaique est devenu trop competitif face au pétrole et encore plus face au nucléaire!), et le marché des gafam et leur design de surveillance nocif pour la confiance et le lien social.

Les commandes sont celles pour un systeme debian.

Matériaux

Outils

autonomie.ods

Calcul_photovoltaïque.ods

Étape 1 - Materiel

Les liens vers le materiel photovoltaïque utilisé sont dans le fichier autonomie.ods ( lisible avec libreoffice) attaché à ce tutoriel.

-Orange pi :

Carte utilisée: Orange pi 5

ordinateur monocarte avec 4,8,16 ou 32 Go de ram

Un processeur à 2,4Ghz ARM Cortex-A55

Cette carte est compatible avec les disques nvme pcie 2.0 ssd 2242 ou 2230 (le pcie étant rétrocompatible cad que les 3.0, 4.0, 5.0 fonctionnent à vitesse réduite sur l'orange pi 5)

Meme principe qu'ici Ordinateur low-tech mais un peu plus puissant et on peut y brancher un disque dur (pratique pour nextcloud qui est fait pour héberger des fichiers) et ca démarre tout seul sur clé usb.

Prix: 143€ sur aliexpress en version 16 Go au 2 août 2023

Il est nécessaire d'acheter une petit boitier à 10€ (ou en fabriquer un ) en plus pour éviter que la carte soit à nue

-Stockage/disque dur:

Ici on utilise une clé usb Kingston 32Go et une carte nvme samsung de 512Go.

On peut brancher une disque dur de plus grande capacité soit en usb, soit une carte nvme (nvme pcie 2.0 ssd 2242 ou 2230. compatible avec les pcie 3.0 4.0 et superieur mais la vitesse est réduite).

Une carte nvme samsung 2242 de 500Go coute 50€ environ au 2 août 2023.

-clé usb : 10€

-cable rj45: 5€

-Box internet ou modem 4G selon votre connection internet.

-Panneau solaire: Ici on utilise un panneau flexible de 100W acheté 100€ neuf mais on en trouve à 30€ d'occasion sur leboncoin équivalent en puissance.

Note: le besoin théorique est de 4 panneaux de 100W avec 3,5h d'ensoleillement journalier en hiver pour couvrir les besoins en faisant tourner le serveur 24h/24. Voir fichier autonomie.ods

-batterie de voiture usée: utiliser sa précédente batterie de voiture plomb acide lorsqu'elle commence à lacher quand il fait trop chaud!

-convertisseur batterie 12/24V-usb 5V: 20€ evitez amazon si vous le pouvez)

- regulateur pwm 30A: 30€ neuf si on ne prend pas de la marque

-cable electrique mc4: 20€

Étape 2 - Installation de nextcloud 1/4

1.Téléchargement de dietpi et préparation de la clé usb

Pour l'installation, je vous conseille d'utiliser dietpi:

https://dietpi.com/#download

Selectionner votre ordinateur monocarte (orange pi dans le cas présent) puis telecharger

Dezipper l'archive obtenue.

Utiliser ensuite balena etcher pour créer une clé usb bootable pour installer dietpi sur votre ordinateur monocarte (orange pi 5 dans le cas présent mais ca fonctionne pareil sur d'autres ordinateurs monocartes).

https://etcher.balena.io/#download-etcher

Double cliquer sur le fichier téléchargé

Selectionner l'image de dietpi téléchargée, selectionner votre clé usb, cliquer sur flash.

Il ne vous reste plus qu'à brancher la clé usb sur le orangepi et il bootera automatiquement sur la clé usb.

Pour un raspberry pi, on utilise une carte sd mais on peut configurer le boot usb également (voir ici : https://makerhelp.fr/booter-un-raspberry-pi-4-sur-un-disque-dur-ou-un-ssd-en-usb/).

2. Installation de nextcloud

Allumer votre orangepi/raspberrypi avec la clé usb branchée.

Le login par défaut au démarrage est root et le mot de passe dietpi.

Suivre les menus que vous propose dietpi au premier démarrage pour installer le service nextcloud. C'es très facile, c'est en anglais et tout est automatisé. J'ai mis les images des menus à sélectionner pour l'installation de nextcloud dans cette etape et les étapes 3 à 6.

Vous pouvez vous déplacer dans les menus au clavier avec les fleches et la touche tab.

Selectionner avec espace et valider avec entree.

Voir images des étapes 3 à 6 pour le déroulement de l'installation et les entrées à sélectionner.

Étape 3 - Installation de nextcloud 2/4

Voir images

Étape 4 - Installation de nextcloud 3/4

Voir images

Étape 5 - Installation de nextcloud 4/4

Voir images

Étape 6 - configuration du reseau local

Brancher le orangepi ou le raspberry pi à votre box internet

(avec un cable rj45 pour le orange pi qui n'a pas le wifi par défaut, avec un cable rj45 ou en wifi pour votre raspberry pi)

Pour se connecter en ssh sans login avec dropbear au orange pi/raspberry pi

copier votre clé publique ssh dans le fichier authorized_keys

placé dans ~/.ssh/authorized_keys

ne pas oublier de faire un chmod 0600 sur ce fichier

Pour le orange pi, qui utilise dropbear:

ajouter la ligne DROPBEAR_EXTRA_ARGS="-s"

au fichier /etc/default/dropbear

Pour obtenir l'ip de votre dietpi ou raspberry pi, taper la commande suivante:

ip a

L'adresse ip s'affiche (192.168.198.160 sur l'image jointe)

Verifier que votre serveur est accessible depuis un autre ordinateur connecté à votre box en tapant dans la barre de votre navigateur (en remplacant adresse_ip par l'adresse trouvée avec la commande ip a)

http://adresse_ip/nextcloud

Rendre votre réseau local accessible depuis internet:

Configurer votre box pour rendre le serveur accessible . Pour rendre votre dietpi accessible depuis internet, il faut aller dans la configuration de votre box et

dans la section "NAT" "Port Forwarding" mettre le port 80 et renseigner l'ip trouvée précedemment ainsi que le port 443 et renseigner l'ip trouvée précédemment également.

Je n'ai pas de box donc je n'ai pas pu vous faire de screenshot mais vous trouverez des ressources sur internet pour cela. Par exemple https://pratiquepc.fr/ouvrir-des-ports-sur-une-livebox/

Vous pouvez ensuite trouver votre ip publique (celle accessible par tous sur internet) en tapant depuis votre console dietpi

curl ifconfig.me

(si curl n'est pas installé lancer la commande apt update && apt install curl)

Une fois la configuration NAT/Port Forwarding effectué, tester si nextcloud est accessible sur internet en rentrant l'adresse suivante dans la barre de votre navigateur internet:

http://adresse_ip_publique>/nextcloud

(remplacer adresse_ip_publique par l'adresse trouvée précédemment

Étape 7 - configuration d'un vpn wireguard pour rendre accessible votre serveur depuis une box 4g ou un modem 4g

[ATTENTION, cette section remet en question le marché des vpns!!]

Cette section n'est utile que pour les connections 4G/5G.

La 4g a l'avantage d'être mobile, avec une tres faible consommation du modem autour de 5W, et vous pouvez trouver des modems 4g sans wifi pour limiter la surface d'attaque de votre serveur (exemple netgear lm1200 autour de 150€).

qu'est ce qu'un vpn?

Les VPN sont principalement connus pour les "clients" vpn. C'est à dire que vous l'utilisez sur votre ordinateur pour vous "anonymiser".

Le vpn est en fait un tunnel entre votre ordinateur et un ordinateur distant à partir duquel partent vos requetes vers internet. Tout votre traffic en direction d'internet va passer par ce tunnel.

Internet pense ainsi que vos requetes proviennent de cet ordinateur distant. C'est à dire que votre ip publique devient celle de cet ordinateur distant.

Votre fournisseur d'accès ne voit que le traffic entre votre ordinateur et cet ordinateur distant, ce qui vous "anonymise".

En réalité, vous êtes anonyme vis à vis de votre fournisseur d'acces à internet, mais vous ne faites que déplacer la confiance vers votre fournisseur vpn qui lui peut voir votre traffic.

Le vpn a aussi d'autres utilités comme vous donner accès à des sites qui filtrent l'accès selon la "provenance" de votre adresse ip publique.

Vous pouvez tout à fait créer votre propre serveur vpn, et dans notre cas, ce serveur vpn permettra de rediriger les requetes internet faites sur ce serveur vers votre orange pi/raspberry pi en passant par le tunnel (dans l'autre sens que lorsque vous l'utilisez en tant que client pour accéder à internet).

Et nous allons voir comment.

Créer un serveur sur gandi.net

Créer un compte sur gandi.net, puis créer un serveur dans gandicloud vps. Voir les images jointes pour la création en 3 clics du serveur qui coute 5€/mois.

Pour créer une clé ssh et se logger voir

https://docs.gandi.net/fr/hebergement_web/connexion/cle_ssh.html

https://docs.gandi.net/fr/cloud/operations_courantes/connexion_serveur.html

Une fois loggé sur le serveur,

lancer la commande pour installer wireguard et les dépendances nécessaires

sudo apt update && sudo apt install wireguard resolvconf iptables nano -y

Lancer la même commande sur votre orange pi/raspberry pi.

lancer ensuite les commandes suivantes sur votre serveur et sur le orange pi/raspberry pi pour creer les cles privés et publiques de wireguard

sudo mkdir -p /etc/wireguard

sudo sh -c 'wg genkey | (umask 0077 && tee /etc/wireguard/private_key) | wg pubkey > /etc/wireguard/public_key'

Afficher la clé publique sur votre orange pi/raspberry pi en tapant

sudo cat /etc/wireguard/public_key

Afficher egalement la clé publique sur votre serveur en tapant

sudo cat /etc/wireguard/public_key

Entrer ensuite les commandes suivantes pour créer un fichier de configuration /etc/wireguard/wg0.conf sur votre serveur:

Taper les lignes suivantes (remplacer cle_publique_du_orange_pi_ou_raspberry_pi par celle affichée précédemment) :

echo "[Interface]" | sudo tee /etc/wireguard/wg0.conf

echo "Address=10.10.0.1/24" | sudo tee -a /etc/wireguard/wg0.conf echo "PrivateKey=$(sudo cat /etc/wireguard/private_key)" | sudo tee -a /etc/wireguard/wg0.conf echo "ListenPort=12345" | sudo tee -a /etc/wireguard/wg0.conf echo "[Peer]" | sudo tee -a /etc/wireguard/wg0.conf echo "PublicKey=cle_publique_du_orange_pi_ou_raspberry_pi" | sudo tee -a /etc/wireguard/wg0.conf

echo "AllowedIPs=10.10.0.2/32" | sudo tee -a /etc/wireguard/wg0.conf

Entrer ensuite la commande suivante sur le serveur pour lancer et activer le service vpn

sudo systemctl start wg-quick@wg0 sudo systemctl enable wg-quick@wg0

taper ensuite

curl ifconfig.me

pour obtenir l'ip publique de votre serveur

Taper les lignes suivantes (remplacer cle_publique_du_serveur par celle affichée précédemment et ip_publique_du_serveur par celle affichée précédemment) :

echo "[Interface]" | sudo tee /etc/wireguard/wg0.conf

echo "Address=10.10.0.2/24" | sudo tee -a /etc/wireguard/wg0.conf echo "PrivateKey=$(sudo cat /etc/wireguard/private_key)" | sudo tee -a /etc/wireguard/wg0.conf echo "[Peer]" | sudo tee -a /etc/wireguard/wg0.conf echo "PublicKey=cle_publique_du_serveur" | sudo tee -a /etc/wireguard/wg0.conf echo "AllowedIPs=10.10.0.1/32" | sudo tee -a /etc/wireguard/wg0.conf

echo "Endpoint=ip_publique_du_serveur:12345" | sudo tee -a /etc/wireguard/wg0.conf

La ligne AllowedIPS définit les ips de destination (sortantes) qui passeront par le tunnel et seront chiffrées mais aussi les ips entrantes autorisées. Si vous souhaitez configurer votre "client" (orange pi ou raspberry pi) pour utiliser le vpn pour accéder à internet, remplacer AllowedIPs=10.10.0.1/32 par AllowedIPs=0.0.0.0/0 En définissant 0.0.0.0/0 on indique que tout le traffic du orange pi/raspberry pi passera par le tunnel wireguard et toutes les ip entrantes seront autorisées. Il est alors important de bien configurer son firewall sur le serveur!

Pour vérifier que wireguard fonctionne, lancer la commande suivante sur le serveur vpn:

ping 10.10.10.2 -c 4

Le ping doit fonctionner

Ca ne fonctionne de façon systématique chez moi, mais je suis sur que si vous essayez loin de l'oeil de sauron votre météo numérique ira mieux que la mienne, et ca fonctionnera chez vous ;)

Étape 8 - configuration d'un vpn openvpn pour rendre accessible votre serveur depuis une box 4g ou un modem 4g

Dans le cas où ca ne fonctionnerait pas avec wireguard, vous pouvez utiliser openvpn, (qui est configurable sans ligne de commande à la souris!).

Pour cela suivez les étapes suivantes (https://openvpn.net/vpn-server-resources/installing-openvpn-access-server-on-a-linux-system/):

wget -O- "https://as-repository.openvpn.net/as-repo-public.gpg" | sudo apt-key add -

echo "deb http://as-repository.openvpn.net/as/debian bullseye main" | sudo tee /etc/apt/sources.list.d/ovpnas.list

sudo apt install openvpn-as

Rendez vous ensuite sur la page de configuration du serveur: https://<adresse_ip_du_serveur> login:openvpn password: indiqué dans le log de l'installation

screen 1: go to admin panel reentrer vos login/password

screen2: Network settings: Activer UDP seulement et port 1194 puis save settings

screen3: VPN Settings: remplir les champs comme indiqué sur le screenshot puis save settings

screen 4 et 4.1: User Management/User permission : changer le mot de passe dans local password et entrer l'adresse ip fixe du screeenshot puis save settings. Puis update running server Pour vous reconnecter à l'interface de configuration: https://adresse_ip_du_serveur:943

screen 5: User Management/User profile: cliquer sur new profile

screen 6: Cliquer sur create profile

Renommer le fichier de configuration téléchargé en openvpn.conf Ouvrir le fichier de configuration et trouver la ligne auth-user-pass et la remplacer par la ligne suivante: auth-user-pass auth.txt

Lancer ensuite sur le orangepi raspberry pi:

sudo apt update && sudo apt install openvpn-client

Copier le fichier de configuration télécharger vers /etc/openvpn/client/openvpn.conf sur votre orangepi/raspberry pi

creer un fichier auth.txt dans /etc/openvpn/client/ dans lequel vous copiez les deux lignes suivantes en remplacant password par votre mot de passe: openvpn password

Lancer ensuite le client vpn:

sudo systemctl start openvpn-client@openvpn

Si vous voulez que le client se connecte automatiquement au lancement de la machine taper

sudo systemctl enable openvpn-client@openvpn

Étape 9 - Rediriger les requetes du serveur vpn vers le orange pi-raspberry pi

Pour rediriger les requetes sur le serveur vers le orange pi / raspberry pi, on met en place un serveur logiciel web nginx:

sudo apt install nginx -y

On ouvre ensuite le fichier de configuration de ce logiciel serveur web:

sudo nano /etc/nginx/sites-enabled/default

Remplacer le contenu du fichier par ce qui suit:

server {

listen 80;

server_name localhost;

server_tokens off;

add_header Permissions-Policy "accelerometer=(),autoplay=(),camera=(),display-capture=(),document-domain=(),encrypted-media=(),fullscreen=(),geolocation=(),gyroscope=(),magnetometer=(),microphone=(),midi=(),payment=(),picture-in-picture=(),publickey-credentials-get=(),screen-wake-lock=(),sync-xhr=(self),usb=(),web-share=(),xr-spatial-tracking=()";

add_header Strict-Transport-Security "max-age=31536000 ; includeSubDomains";

add_header X-Frame-Options "SAMEORIGIN";

add_header X-Content-Type-Options nosniff;

add_header Content-Security-Policy "script-src 'self';";

add_header X-Permitted-Cross-Domain-Policies none;

add_header Referrer-Policy no-referrer;

add_header Clear-Site-Data "cache,cookies,storage";

location / {

proxy_pass http://10.10.0.2;

proxy_set_header Host $host;

proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

proxy_set_header X-Real-IP $remote_addr;

proxy_set_header X-Forwarded-Proto $scheme;

client_max_body_size 20M;

limit_except GET HEAD POST {deny all;}

}

}

Nginx va rediriger les requetes faites sur l'ip publique de votre serveur vers le nextcloud de votre orange pi / raspberry pi (ligne proxy_pass http://10.10.0.2;)

Vous pouvez tester si cela fonctionne en vous rendant sur la page:

http://ip_publique_de_votre_serveur_gandi

Attention, de nombreux navigateurs n'acceptent plus tres bien les redirections en http, voir la section https pour configurer le https (il faudra prendre un nom de domaine).

Étape 10 - Nom de domaine et adresse fixe

Le nom de domaine est l'adresse dans votre navigateur : par exemple lowtechlab.org.

Il vous permet de rendre votre serveur accessible plus facilement avec une adresse facilement memorisable. Il ne fait qu'associer le nom de domaine à l'adresse ip de votre serveur vpn ou l'adresse ip de votre box.

Que vous enregistriez un nom de domaine pour rediriger vers votre adresse ip ou pas (c'est nécessaire pour avoir le https cependant), il faut noter que par défaut, les fournisseurs d'accès vous octroient une adresse ip différente à chaque connexion.

Si vous souhaitez une adresse ip fixe, il faut en faire la demande à votre fournisseur d'accès. Ce n'est malheureusement plus très répandue dans les offres grands publics. Orange propose à la place un "DynDns" qui vous propose une adresse en lettres correspondant à votre adresse ip mais à laquelle vous ne pouvez pas rattacher facilement un nom de domaine. Certains gestionnaires de nom de domaine, comme infomaniak, proposent tout de même d'enregistrer un nom de domaine pour le dyndns qui est acessible assez facilement sans surcout chez les principaux opérateurs.

Si vous avez un accès en 4G, il n'est pas possible d'avoir une adresse ip fixe et votre adresse ip publique correspondra à un "pool". C'est à dire que l'opérateur alloue une adresse ip publique pour plusieurs clients, ne vous permettant pas d'utiliser la technique du NAT/Port Forwarding pour rendre votre dietpi accessible sur internet.

Il faudra alors prendre un nom de domaine pour votre serveur vpn qui redirige les requetes vers votre dietpi.

Voir image jointe pour l'enregistrement d'un nom de domaine: c'est la ligne nom "@" type A qu'il faut renseigner avec l'adresse ip publique de votre box ou de votre serveur vpn.

Étape 11 - Configuration https sur serveur gandi vpn

Si vous avez un serveur vpn

Sur votre serveur gandi, effectuer les opérations suivantes:

Creer un fichier /etc/nginx/conf.d/dietpi.conf et copier les lignes suivante:

server {

listen 80;

server_name localhost;

server_tokens off;

add_header Permissions-Policy "accelerometer=(),autoplay=(),camera=(),display-capture=(),document-domain=(),encrypted-media=(),fullscreen=(),geolocation=(),gyroscope=(),magnetometer=(),microphone=(),midi=(),payment=(),picture-in-picture=(),publickey-credentials-get=(),screen-wake-lock=(),sync-xhr=(self),usb=(),web-share=(),xr-spatial-tracking=()";

add_header Strict-Transport-Security "max-age=31536000 ; includeSubDomains";

add_header X-Frame-Options "SAMEORIGIN";

add_header X-Content-Type-Options nosniff;

add_header Content-Security-Policy "script-src 'self';";

add_header X-Permitted-Cross-Domain-Policies none;

add_header Referrer-Policy no-referrer;

#add_header Clear-Site-Data "cache,cookies,storage";

return 301 https://$host$request_uri;

location / {

return 301 https://$host$request_uri;

}

}

lancer ensuite les commandes suivantes:

sudo apt install letsencrypt

wget https://raw.githubusercontent.com/certbot/certbot/master/certbot-nginx/certbot_nginx/_internal/tls_configs/options-ssl-nginx.conf

sudo cp options-ssl-nginx.conf /etc/letsencrypt/options-ssl-nginx.conf

wget https://raw.githubusercontent.com/certbot/certbot/master/certbot/certbot/ssl-dhparams.pem

sudo cp ssl-dhparams.pem /etc/letsencrypt/ssl-dhparams.pem

sudo rm /etc/nginx/sites-enabled/default

sudo apt remove certbot

sudo apt install python3-certbot-nginx

obtenir les certificats (rempalcer __domain__ par votre domaine):

sudo certbot certonly --nginx -d __domain__

copier ensuite les lignes suivante dans votre fichier /etc/nginx/conf.d/dietpi.conf

en remplacant __domain__ par votre domaine

server {

listen 80;

server_name localhost;

server_tokens off;

add_header Permissions-Policy "accelerometer=(),autoplay=(),camera=(),display-capture=(),document-domain=(),encrypted-media=(),fullscreen=(),geolocation=(),gyroscope=(),magnetometer=(),microphone=(),midi=(),payment=(),picture-in-picture=(),publickey-credentials-get=(),screen-wake-lock=(),sync-xhr=(self),usb=(),web-share=(),xr-spatial-tracking=()";

add_header Strict-Transport-Security "max-age=31536000 ; includeSubDomains";

add_header X-Frame-Options "SAMEORIGIN";

add_header X-Content-Type-Options nosniff;

add_header Content-Security-Policy "script-src 'self';";

add_header X-Permitted-Cross-Domain-Policies none;

add_header Referrer-Policy no-referrer;

#add_header Clear-Site-Data "cache,cookies,storage";

return 301 https://$host$request_uri;

location / {

return 301 https://$host$request_uri;

}

}

server {

listen 443 ssl http2;

server_name localhost;

server_tokens off;

ssl_certificate /etc/letsencrypt/live/__domain__/fullchain.pem;

ssl_certificate_key /etc/letsencrypt/live/__domain__/privkey.pem;

include /etc/letsencrypt/options-ssl-nginx.conf;

ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;

add_header Permissions-Policy "accelerometer=(),autoplay=(),camera=(),display-capture=(),document-domain=(),encrypted-media=(),fullscreen=(),geolocation=(),gyroscope=(),magnetometer=(),microphone=(),midi=(),payment=(),picture-in-picture=(),publickey-credentials-get=(),screen-wake-lock=(),sync-xhr=(self),usb=(),web-share=(),xr-spatial-tracking=()";

add_header Strict-Transport-Security "max-age=31536000 ; includeSubDomains";

add_header X-Frame-Options "SAMEORIGIN";

add_header X-Content-Type-Options nosniff;

add_header Content-Security-Policy "script-src 'self';";

add_header X-Permitted-Cross-Domain-Policies none;

add_header Referrer-Policy no-referrer;

#add_header Clear-Site-Data "cache,cookies,storage";

location / {

proxy_pass http://10.10.10.2;

proxy_set_header Host $host;

proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

proxy_set_header X-Real-IP $remote_addr;

proxy_set_header X-Forwarded-Proto $scheme;

client_max_body_size 20M;

limit_except GET HEAD POST {deny all;}

}

}

redémarrer nginx

sudo systemctl restart nginx

Acceder à votre serveur en https en tapant l'adresse suivante dans votre navigateur

https://votre_domaine/nextcloud/

Une fois ces étapes réalisées, votre serveur est accessible en ligne en https en tapant dans votre navigateur https://votre_domaine/nextcloud/

Vous pouvez alors configurer nextcloud en ligne par le compte administrateur login par défaut sur dietpi: admin mot de passe par défaut sur dietpi: mot de passe entrée à l'installation de dietpi

Étape 12 - Configuration https sur dietpi si vous etes branché en box

Étape 13 - Rendre votre serveur nomade et autonome énergétiquement en photovoltaique

[ATTENTION, cette section remet en question le marché du pétrole!!]

Que ce soit pour des raisons écologiques, ou pour d'autres raisons, il est intéressant d'avoir un serveur autonome énergétiquement,

qui ne dépendra pas des aléas du réseau électrique.

videos:

bases debutant(panneaux, regulateur, onduleur, conso/prod): https://www.youtube.com/watch?v=8Ft4XQj9lQ4

montage simple kit myshop solaires pour 230V:https://www.youtube.com/watch?v=SvmPEhPq_S8

kit prêts à acheter (si vous avez des subventions et des collègues qui coopèrent bien):

https://allo.solar/kit-solaire-1650w-230v-autoconsommation-aps.html?gclid=EAIaIQobChMIkY_fxvu-gAMVyLfVCh014gadEAYYASABEgJd8_D_BwE

solution intermédiaire intégrée:

Station énergie portable extensible 230V BLUETTI AC200MAX

EcoFlow River 2 pro

kits semi lowtech (celui utilisé dans ce guide):

panneaux photovoltaïque 100W et batterie de voiture plomb acide.

kit vraiment lowtech:

fabriquer sa batterie lithium à partir de déchets: voir barnabé chaillot

https://www.youtube.com/watch?v=_hwj7Ds50lU

rappel de base: branchement en série (+ sur - et + sur -) on ajoute le voltage et on garde le meme amperage, branchement en paralelle (+ sur +, - sur -) on ajoute l'amperage et on garde le meme voltage

idem pour les batteries: à mettre en paralelle pour garder la meme tension (voltage)

La première problématique du photovoltaïque lowtech autonome est le dimensionnement de l'installation.

Pour cela on trouve pas mal d'informations sur internet.

Vous pouvez utiliser la feuille libreoffice en piece jointe pour du dimensionnement "bricolé".

Le dimensionnement:

Le orange pi consomme environ 20W

Un disque usb supplémentaire consomme environ 5W

Un modem 4G consomme environ 5W

Soit un besoin constant de 35W pour prendre un peu de marge

le besoin journalier pour un serveur qui tourne 24h/24: 35W*24h=840Wh

Le besoin journalier pour un serveur qui tourne en journéee seulement:

en été: 35W*14h=490Wh

en hiver: 35W*8h=280Wh

Notez qu'il s'agit là d'un besoin moyen et si vous souhaitez dimensionner

pour des usages divers, il est recommander de procéder de façon plus précise

en calculant les besoins temps réels.

le dimensionnement du stockage par le temps d'autonomie :

Estimer les pertes à 20% et augmenter le besoin en consquénce:

besoin 24h/24=840/0,80=1050Wh

Estimer le temps d'autonomie voulue:

exemple 24h

On va alors dimensionner le stockage pour tenir 24h.

Pour des batteries en 12V: 1050Wh/12V=87,5Ah

Etant donné qu'on veut limiter la décharge des batteries à 50%, on prendra donc

87,5Ah/0,5=175Ah

Soit 2100 Wh en 12V

Selon les caractéristiques des panneaux (voir feuille de calcul), on peut estimer

la recharge de la batterie lorsque l'ensoleillement est minimal (en décembre).

Pour dimensionner, on peut utiliser la méthode du nombre de jours voulues pour recharger entierement les batteries:

Si on veut pouvoir recharger les batteries en un jour en hiver, il faut considérer la puissance produite par vos panneaux au jour d'hiver avec le moins d'ensoleillement.

Si on prend 3,5h pour le minimum, le nombre de panneaux nécessaire de puissance x Watt sera:

C_batterie:Capacité batterie en Wh

Dans notre exemple 2100Wh

T_hiver:temps de recharge journalier minimal en hiver (en h)

Dans notre exemple 3,5h

B_hiver:besoin journalier hors temps ensoleillement en hiver (en Wh)

Dans notre exemple (24h-3,5h)*35W=897Wh

n_voulus:nombre de jour voulus pour recharger entierement la batterie

Dans notre exemple 1

I:amperage sortie d'un panneau photovoltaique

Dans notre exemple 7A

U:tension sortie d'un panneau photovoltaique

Dans notre exemple 12V

Nb_panneaux=C_batterie+B_hiver*n_nvoulus/T_hiver*I*U*n_voulus

Dans l'exemple:

Nb_panneaux=(2100+897*1)/(3,5*12*7*1)

Il faudra donc 10 panneaux de 84W de 7A 12V

Noter que la valeur cardinale ici est à la ligne 42 du fichier joint, il s'agit

de l'ensoleillement journalier minimal en décembre à production nominale. Des valeurs de référence peuvent être trouvées sur

https://re.jrc.ec.europa.eu/api/v5_2/seriescalc?lat=44.203142&lon=0.616363&loss=14&angle=45&aspect=0&startyear=2005&endyear=2005&pvcalculation=1&peakpower=1&pvtechchoice=crystSi&browser=0&outputformat=csv

Mais rien ne vaut une mesure empirique pour vérifier tout ca.

Tout commentaire et "retour d'experience" est bienvenu à ce sujet en bas de cette page!

La problématique principale du photovoltaïque lowtech autonome est le stockage de l'énergie.

Vous pouvez lire les caractéristiques des panneaux qu'on vous a donné ou trouvés sur leboncoin à pas cher:

-puissance crete: elles s'aditionnent pour obtenir la puissance nécessaire trouvée lors de la phase de dimensionnement.

-tension : 12V,24V ou 48V. voir regles série/paralelle pour leur additions

-intensité: variable selon les modèles mais souvent inferieure à 10A

Pour recharger des batteries, en principe, si vous connectez votre panneaux en direct sur une batterie, il suffit que la tension

à la sortie de vos panneaux soit la même que celles de vos batterie, et ca devrait charger.

Il y a un composants importants à retenir pour charger correctement vos batteries:

le regulateur ou controleur de charge

il en existe de trois sortes: les tor (tout ou rien) les mppt (Maximum power point tracking) et les pwm (Pulse Width Modulation)

Les mppt accepte des puissances nominales plus élevées, cad des tensions et intensité plus élevées.

Ils sont composés d'un adaptateur DC/DC et d'un coupe circuit. Le mppt comprend également un adaptateur d'impédence.

Le régulateur ou controleur de charge: il permet de s'assurer que la tension et l'intensité de charge sont bonnes. Il coupe le circuit si

leurs valeurs dépassent les intervalles de référence (pour cela le regulateur arrete la charge temporairement et mesure la tension aux bornes des batteries).

Le mmpt a un "algorithme" électronique intégré qui va chercher le point de puissance optimal

grace a son adaptateur d'impedance.

Si vous connectez plusieurs panneaux et plusieurs batteries, il est essentiel d'avoir un bon regulateur pour que couper la charge correctement lorsque la batterie est chargée.

Les tensions de charge de référence sont 12V,24V et 48V.

Cependant, les prix des modèles augmentent avec la puissance nominales (qui va dépendre de l'amperage) qu'ils acceptent.

Pour limiter l'intensité du courant de la production photovoltaïque, il est plus judicieux d'utiliser des panneaux de plus forte puissance qui sont généralement à des tensions plus élevées

(rappel P=U*I,

rappel E=P*t se conserve dans un systeme fermé).

note: si le systeme de stockage par batterie ou l'appareil connecté à vos panneaux n'absorbe pas toute la puissance produite, et si le régulateur de charge ne coupe pas le circuit, le reste sera dégagé en chaleur.

L'amperage va aussi dependre de la capacité de stockage de vos batteries, dimensionnées pour couvrir vos besoins pendant une periode définie au dimensionnement.

Le courant de charge est calculé en divisant par 4 ou 5 la capacité nominale de la batterie exprimée en Ah qui devrait alors se recharger en 4 ou 5h. Cependant une batterie se rechargera aussi avec un courant de charge de la capacité nominale de la batterie divisée par 20 mais plus lentement (en 20h). Dimensionnez et/ou agencez vos panneaux en conséquence.

Des montages serie+paralelle peuvent permettrent d'ajuster tension et amperage.

Il y a enfin un dernier point sur lequel être attentif: le déclenchement de la recharge de la batterie par le regulateur/controleur de charge (qui déclenche quand la tension de la batterie diminue en dessous d'un certain seuil).

En effet, si la puissance soutirée à la batterie est trop faible, il est possible que le temps nécessaire à la décharger suffisamment avec votre consommation journalière pour déclencher la recharge dans le régulateur dépasse le temps d'ensoleillement journalier.

Dans ce cas, votre batterie ne se rechargera qu'un jour sur deux ou sur trois (selon le seuil de déclenchement de la recharge du regulateur).

C'est un paramètre à prendre en compte dans le dimensionnement (non inclus dans la feuille de calcul).

Le régulateur a 3 phases:

bulk: le regulateur laisse passer le courant

absorption (pour les mppt): la tension de charge augmente un peu pour créer une difference de potentiel suffisante pour continuer à charger la batterie presque pleine.

En théorie le courant de charge diminue lorsque la batterie est presque rechargée (courant de queue etc.)

floating: le regulateur alterne interupteur fermée et ouvert à une fréquence donnée pour maintenir la batterie chargée

En outre il faut prendre des précautions car la charge des batteries présente certains risques.

La charge de batteries en paralelle ou en série sur des batteries usagées qui n'ont pas les mêmes tensions ou intensité

présente en théorie des risques. En effet vous lirez un peu partout que la résistance des fils pour relier ces batteries

créee des différences de potentiels entre les batteries qui produisent des décharges d'une batterie envers une autre etc.

créant des risques d'explosion, de degazage pour les batteries plomb etc.

Il faut bien se rapeller que les batteries sont des assemblages de composants unitaires de faible tension mis en séries et

en paralelle pour obtenir un générateur de l'intensité et la tension voulue.

On parle souvent de "battery management system" (bms) "intégré" pour les batteries lithium ion.

En réalité le régulateur de charge est déjà un "bms". En théorie, le bms intégré s'assure que les tensions et les intensités

de chaque unité composant la batterie est la même et la rééquilibre au besoin.

On peut bien sûr s'interroger si tout ceci n'est pas une façon de rendre le stockage de l'énergie plus cher avec des composants BMS

artificiellement chers et si ce n'est pas une façon d'éviter de réutiliser des unités de batteries usagées.

Il est par exemple étonnat qu'il n'existe pas de BMS pour rééquilibrer automatiquement des batteries plomb acide, ce qui rendrait

utilisable toutes les batteries de décharges de l'industrie automobile pour stocker l'énergie photovoltaïque sans risque!

Dans tous les cas, si vous réutilisez des batteries au plomb, utilisez un régulateur pour éviter de continuer à charger vos batteries rechargées (risques de production d'hydrogene),

évitez les décharges profondes, et maintenez les batteries à une temperature constante autant que possible.

Étape 14 - Montage et test

Pour raison budgétaire on dimensionne sur un dixieme de la puissance de panneaux et un quart de la capacité de batterie de ce que la théorie nous a indiqué pour être autonome 24h/24h et en capacité de recharger en un seul jour en hiver, soit un panneau de 100W et une vieille batterie de voiture de 45Ah (100Ah en 12V).

Le regulateur utilisé n'accepte pas les panneaux 40V donc on n'a pas utilisé le panneau photovoltaïque d'occasion de 180W à 20€ trouvé sur leboncoin, mais je ne manquerai pas d'updater ce tuto avec dès que j'aurai le materiel et avec les valeurs de production hivernale si j'y arrive!

Étape 15 - Securisation du serveur

Au niveau sécurité, les failles connues des cpus peuvent être trouvées sous linux en faisant:

grep -r . /sys/devices/system/cpu/vulnerabilities

Cette commande sur le orange pi (cpu CortexA55) avec dietpi installé donne:

/sys/devices/system/cpu/vulnerabilities/spectre_v2:Mitigation: Unprivileged eBPF enabled

/sys/devices/system/cpu/vulnerabilities/itlb_multihit:Not affected

/sys/devices/system/cpu/vulnerabilities/mmio_stale_data:Not affected

/sys/devices/system/cpu/vulnerabilities/mds:Not affected

/sys/devices/system/cpu/vulnerabilities/l1tf:Not affected

/sys/devices/system/cpu/vulnerabilities/spec_store_bypass:Mitigation: Speculative Store Bypass disabled via prctl

/sys/devices/system/cpu/vulnerabilities/tsx_async_abort:Not affected

/sys/devices/system/cpu/vulnerabilities/spectre_v1:Mitigation: __user pointer sanitization

/sys/devices/system/cpu/vulnerabilities/retbleed:Not affected

/sys/devices/system/cpu/vulnerabilities/srbds:Not affected

/sys/devices/system/cpu/vulnerabilities/meltdown:Not affected

Ayant testé un orange pi un raspberry pi et un odroid, le probleme reste le même.

basiques:

principe de limiter surface d'attaque

on peut passer sa vie à augmenter la sécurité d'un systeme informatique...

trouver le bon compromis et évaluer les risques ou appats en termes financiers

(le hack est toujours possible)

Cependant quelques éléments car c'est un sujet sur lequel on trouve peu d'informations didactiques rassemblées.

acces physique sécurisé:

mot de passe grub

Lancer grub-mkpasswd-pbkdf2 dans un terminal

Copier le texte qui commence par grub.pbkdf2.sha512.10000.xy

où xy est une longue suite de lettres et de chiffres

Ajouter les lignes suivantes à un fichier /etc/grub.d/42_pw

en remplacant user par votre nom d'utilisateur linux et pw par le

texte précemment copié

cat << EOF

set superusers=user

password_pbkdf2 pw

EOF

lancer ensuite la commande

update-grub

bons mots de passes en general

pour changer le mot de passer de l'utilisateur courant taper

passwd

pour changer le mot de passe de l'utilisateur root taper

sudo passwd root

éventuellement vérification d'intégrité du boot (voir ordinateurs de purism par exemple)

chiffrer (crypter) ses supports de stockage:

https://doc.ubuntu-fr.org/tutoriel/chiffrer_ses_donnees

https://www.dwarmstrong.org/remote-unlock-dropbear/

sécurité d'un serveur:

apt update automatisé : https://www.linuxtricks.fr/wiki/debian-activer-les-mises-a-jour-automatique-avec-unattended-upgrades

lignes à inclure dans votre configuration ssh (/etc/ssh/sshd_config):

Port 22 #changer sur un autre port si vous le souhaitez

Protocol 2

PermitRootLogin no

StrictModes yes

PermitEmptyPasswords no

X11Forwarding no

Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes128-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr

MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,umac-128-etm@openssh.com,hmac-sha2-512,hmac-sha2-256,umac-128@openssh.com

KexAlgorithms curve25519-sha256,curve25519-sha256@libssh.org,diffie-hellman-group14-sha256,diffie-hellman-group16-sha512,diffie-hellman-group18-sha512,ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh-sha2-nistp256,diffie-hellman-group-exchange-sha256

AllowTcpForwarding no

MaxSessions 1

UsePAM yes

AllowUsers user #remplacer par les utilisateurs autorisées

AllowGroups group #remplacer par les groupes autorisés

PasswordAuthentication no

AuthorizedKeysFile .ssh/authorized_keys

firewall logiciel:

ufw: https://doc.ubuntu-fr.org/ufw

ou fichier de configuration iptables:

https://gitlab.com/aurelpere/bp028-hardening/-/blob/main/rhel_iptables_ipv4/files/server_firewall.sh

fail2ban: https://doc.ubuntu-fr.org/fail2ban

fail2ban pour nextcloud: https://tuxicoman.jesuislibre.net/2015/01/fail2ban-pour-owncloud-7-sur-debian-jessie.html

desactiver ipv6 (ou configurer le firewall aussi pour ipv6)

3 méthodes pour désactiver ipv6:

dans grub

avec sysctl

ajouter les lignes suivantes à /etc/systcl.conf

net.ipv6.conf.all.disable_ipv6 = 1

net.ipv6.conf.default.disable_ipv6 = 1

net.ipv6.conf.all.router_solicitations = 0

net.ipv6.conf.default.router_solicitations = 0

net.ipv6.conf.all.accept_ra_rtr_pref = 0

net.ipv6.conf.default.accept_ra_rtr_pref = 0

net.ipv6.conf.all.accept_ra_pinfo = 0

net.ipv6.conf.default.accept_ra_pinfo = 0

net.ipv6.conf.all.accept_ra_defrtr = 0

net.ipv6.conf.default.accept_ra_defrtr = 0

net.ipv6.conf.all.autoconf = 0

net.ipv6.conf.default.autoconf = 0

net.ipv6.conf.all.accept_redirects = 0

net.ipv6.conf.default.accept_redirects = 0

net.ipv6.conf.all.accept_source_route = 0

net.ipv6.conf.default.accept_source_route = 0

net.ipv6.conf.all.max_addresses = 1

net.ipv6.conf.default.max_addresses = 1

avec le network manager nmcli

https://access.redhat.com/documentation/en-us/red_hat_enterprise_linux/8/html/configuring_and_managing_networking/using-networkmanager-to-disable-ipv6-for-a-specific-connection_configuring-and-managing-networking

sécuriser le serveur en cas de multi utilisateur ou autres utilisateurs ayant obtenu un accès:

listes de fichiers à sécuriser (permissions etc.): https://linuxfr.org/forums/linux-general/posts/liste-des-fichiers-linux-a-securiser-owner-group-permissions-setuid-setgid-sticky-bit

guides de durcissement anssi : https://www.ssi.gouv.fr/guide/recommandations-de-securite-relatives-a-un-systeme-gnulinux/

Pour aller plus loin en termes de sécurité:

firewall physique libre: pcengines/ logiciel libre OPNSense

fail2ban avec listes géographiques: https://thecustomizewindows.com/2016/11/fail2ban-geoip-action-script-block-ssh-country/

Créer un sas de connection à votre service en ligne (MySafeip): https://linuxfr.org/news/mysafeip-un-tiers-de-confiance-pour-votre-pare-feu

sécuriser les services systemd linux: https://github.com/juju4/ansible-harden-systemd

compiler un kernel :

https://doc.ubuntu-fr.org/tutoriel/comment_compiler_un_kernel_de_kernel.org

https://github.com/robertdebock/ansible-role-kernel

Notes et références

Pas de remerciements, c'est galère et on m'a pas aidé ;)

fr none 0 Draft