Différences

Ci-dessous, les différences entre deux révisions de la page.

--- pratique:informatique:apache [26/10/2024 20:45] – [Certificat ssl] Zatalyz
+++ pratique:informatique:apache [26/08/2026 11:36] (Version actuelle) – [Certificat ssl] Zatalyz
@@ Ligne 195: / Ligne 195: @@
 <WRAP center round todo 60%>
 Faut revoir, soit dans l'optique "le proxy demande les certifs", soit "le backend les gère". D'un point de vue anonymat c'est mieux si c'est chiffré tout du long mais d'un autre côté la femme du milieu, c'est moi...
+Mise à jour : de toute façon c'est pas possible avec Apache. Et pas possible de faire un challenge dns automatisé avec bookmyname. Donc, on fera un transfert du certif post-hook. Mais je bidouille ça un autre jour.
 </WRAP>
@@ Ligne 237: / Ligne 239: @@
 Renouvellement en éteignant/rallumant automatiquement la bête :
   sudo certbot renew --pre-hook "service apache2 stop" --post-hook "service apache2 restart"
+===== Gestion DDOS =====
+Un module permet de limiter les requêtes par IP. Pas intéressant face à ceux qui changent d'ip à chaque requête, mais... ça peut aider quand même sur le reste.
+<code>sudo apt install libapache2-mod-evasive
+</code>
+Modifier ''/etc/apache2/mods-available/evasive.conf'' :
+<code>
+<IfModule mod_evasive20.c>
+    DOSHashTableSize    3097
+    # 5 requêtes sur la même page
+    DOSPageCount        5
+    # 50 requêtes totales sur le site
+    DOSSiteCount        50
+    # en 2 secondes
+    DOSPageInterval     2
+    # en 2 secondes
+    DOSSiteInterval     2
+    # bannir pendant 600 secondes (10 min)
+    DOSBlockingPeriod   600
+    # DOSEmailNotify      admin@votredomaine.com
+    # Si on veut déclencher un script (genre reaction) au lieu de juste laisser apacher gérer une blocklist. mais Apache va donner du error 403/503 (à vérifier), c'est mieux.
+    # DOSSystemCommand    "sudo /usr/local/bin/ban_ip.sh %s"
+    DOSLogDir           "/var/log/mod_evasive"
+</IfModule>
+</code>
+<code>
+sudo a2enmod evasive
+sudo systemctl restart apache2
+</code>