Linux — Services

Questions fréquentes

Quelle est la différence entre Apache et Nginx ?

Les deux sont des serveurs web libres qui font le même travail : servir des pages, exécuter une application, porter un certificat HTTPS. Nginx traite les connexions de façon événementielle, avec quelques processus qui gèrent chacun des milliers de connexions : il consomme peu de mémoire et excelle comme reverse proxy. Apache est modulaire, accepte les fichiers .htaccess et reste la référence de nombreuses applications. Pour un intranet ou une application de gestion, les deux conviennent : choisis selon la documentation de l'application et l'existant (comparaison détaillée).

C'est quoi PHP-FPM ?

PHP-FPM (FastCGI Process Manager) est le service qui exécute les scripts PHP pour le serveur web. Nginx lui transmet chaque requête vers un fichier .php par le protocole FastCGI, sur un socket Unix, et renvoie au navigateur la page produite. Il permet de faire tourner chaque application dans son propre pool, sous son propre compte, ce qui isole les applications les unes des autres (chapitre 4).

Comment installer un serveur web avec PHP et MariaDB sur Debian ?

Installe les paquets de la distribution : nginx, php8.4-fpm avec les extensions utiles (php8.4-mysql, php8.4-curl…) et mariadb-server, sans jamais le métapaquet php, qui installerait Apache. Crée un server block par site, relie-le à PHP-FPM avec snippets/fastcgi-php.conf, sécurise MariaDB avec mariadb-secure-installation et crée un compte limité à la base de l'application. Vérifie chaque configuration (nginx -t, php-fpm8.4 -t) avant de recharger, puis passe le site en HTTPS (chapitres 2, 4 et 5).

C'est quoi un reverse proxy ?

Un reverse proxy est un serveur placé devant un ou plusieurs serveurs web : il reçoit les requêtes des visiteurs, les transmet au bon serveur et renvoie la réponse. Il porte le certificat HTTPS, masque les serveurs internes et peut répartir la charge entre plusieurs serveurs, en écartant ceux qui sont en panne. Nginx et HAProxy sont les plus utilisés ; à ne pas confondre avec le proxy « direct », placé devant les postes pour filtrer leur navigation (chapitre 10).

Comment joindre un serveur Linux à un domaine Active Directory ?

Sous Debian, realm join (paquet realmd) crée le compte d'ordinateur dans l'annuaire et configure Kerberos et SSSD, qui authentifie ensuite les comptes du domaine. Les prérequis comptent plus que la commande : le serveur doit utiliser les DNS des contrôleurs, avoir l'heure à moins de 5 minutes de la leur et un nom complet correct. On limite ensuite les connexions à un groupe avec realm permit -g et on donne sudo à ce groupe (chapitre 8).

Let's Encrypt est-il gratuit et fiable ?

Oui : Let's Encrypt est une autorité de certification publique, gratuite et reconnue par tous les navigateurs, qui délivre des certificats pour les noms publics après une vérification automatique (protocole ACME). Ses certificats durent 90 jours aujourd'hui, 64 jours à partir de février 2027 et 45 jours à partir de février 2028 : ils se renouvellent automatiquement avec Certbot. Pour un nom interne (glpi.ad.sorbier.example), il faut l'autorité de certification de l'entreprise (chapitre 6).

Comment sécuriser MariaDB après l'installation ?

Lance mariadb-secure-installation pour supprimer les comptes anonymes, la base de test et l'accès distant de root, qui se connecte sous Debian par le socket Unix, sans mot de passe. Laisse MariaDB écouter sur 127.0.0.1 tant qu'aucune autre machine n'en a besoin. Crée un compte par application, limité à sa base, jamais root ; pour un accès réseau, un compte lié à l'adresse du client, en TLS (REQUIRE SSL), avec les seules tables utiles (chapitre 5).

Samba ou NFS : lequel choisir ?

Samba (protocole SMB) pour les partages des utilisateurs, surtout s'ils sont sous Windows : il s'authentifie par compte, et par Kerberos dans un domaine Active Directory. NFS pour le stockage partagé entre serveurs Linux et hyperviseurs : il autorise par adresse de machine et fait confiance aux identifiants du client, d'où l'importance de root_squash et des exports limités à des adresses précises (chapitre 9).

Pourquoi /var/log/auth.log n'existe-t-il pas sur Debian 13 ?

Depuis Debian 12, rsyslog n'est plus installé par défaut : les journaux sont gérés par systemd-journald et se lisent avec journalctl (par exemple journalctl -u ssh pour les connexions SSH). Les fichiers texte /var/log/syslog et /var/log/auth.log réapparaissent si tu installes rsyslog, ce qu'on fait aussi pour envoyer les journaux à un serveur central (chapitre 12).

Quels services Linux présenter à l'épreuve E6 SISR ?

Ceux qui répondent à l'environnement exigé et à un besoin réel de l'organisation : une application comme GLPI sur Nginx, PHP-FPM et MariaDB avec authentification par l'annuaire, un service en HTTPS derrière un reverse proxy, une répartition de charge avec HAProxy et keepalived, une centralisation des journaux. Ce qui fait la différence, ce n'est pas le nombre de services, mais la justification des choix, la sécurité et la recette prouvée (cas de synthèse).