Proxmox on slash-root.fr

CrowdSec : Protéger l’authentification Proxmox

Thu, 18 Jul 2024 14:50:45 +0200

Introduction

Ce guide explique comment protéger l'authentification sur Proxmox contre les attaques de Bruteforce à l'aide de CrowdSec. Suite aux dernières actualités de VMware, de nombreux utilisateurs ont migré vers Proxmox. Il est donc essentiel de sécuriser le portail d'authentification, exposé par défaut sur le port TCP 8006.

Ce guide se base sur une installation de Proxmox sur Debian 12. Par défaut, rsyslog n'est plus installé sur Debian 12. Nous verrons comment configurer cela avec journald mais également avec rsyslog si besoin.

Prérequis

Une machine Debian 12 avec un accès root ou sudo. Toutes les commandes présentées ci-dessous seront à exécuter en tant que root.
Une connexion internet active.
Proxmox installé
CrowdSec installé (voir ici : Installation de CrowdSec)

Installation de la collection pour proxmox

En navigant sur le hub de CrowdSec, une collection pour proxmox est disponible.

Installer la collection :

cscli collections install fulljackz/proxmox

Ceci a pour effet d'installer 2 parsers et 1 scénario.

Lister les parsers :

cscli parsers list
# crowdsecurity/syslog-logs ✔️ enabled 0.8 /etc/crowdsec/parsers/s00-raw/syslog-logs.yaml
# fulljackz/proxmox-logs ✔️ enabled 0.2 /etc/crowdsec/parsers/s01-parse/proxmox-logs.yaml

Lister les sénarios :

cscli scenario list
# fulljackz/proxmox-bf ✔️ enabled 0.2 /etc/crowdsec/scenarios/proxmox-bf.yaml

Pour que ceux-ci soient pris en compte, le service CrowdSec doit être rechargé. Nous le ferons après quelques modifications.

Modification du parser proxmox

Le parser spécifique à proxmox se situe ici : /etc/crowdsec/parsers/s01-parse/proxmox-logs.yaml

Pour qu'il soit compatible avec la dernière version de Proxmox, nous allons l'éditer et apporter les modifications suivantes :

pattern_syntax:
 PVE_AUTH_FAIL: 'authentication failure; rhost=::ffff:%{IP:client_ip} user=%{USERNAME:source_user}@%{WORD:realm} msg='

Ajout : ::ffff:

Création du fichier d’acquisition

Afin que le parser Proxmox puisse être utilisé, il faut définir la méthode d'acquisition.

Utilisation avec journald

Pour utiliser le parser avec journald :

Créez le fichier /etc/crowdsec/acquis.d/proxmox.yaml avec le contenu suivant :

journalctl_filter:
 - _SYSTEMD_UNIT=pvedaemon.service
labels:
 type: syslog

Utilisation avec rsyslog

Si vous préférez utiliser rsyslog avec le fichier de log /var/log/syslog :

Installez rsyslog si ce n'est pas déjà fait :
```
apt install -y rsyslog
```
Créez le fichier /etc/crowdsec/acquis.d/proxmox.yaml avec le contenu suivant :

---
filenames:
 - /var/log/syslog
labels:
 type: pvedaemon

Redémarrage du service

A présent, le service crowdsec peut être rechargé :

systemctl reload crowdsec

Vérification

Nous allons vérifier le fonctionnement des parsers et du nouveau scénario dédié à proxmox.

Pour cela, spammez la page de login de Proxmox, puis vérifiez les résultats :

Alertes :

cscli alerts list
# | 2 │ Ip:66.66.66.66 │ fulljackz/proxmox-bf │ │ │ ban:1 │ 2024-07-18 12:13:37.498899667 +0000 UTC

Décisions :

cscli decisions list
# 15001 │ crowdsec │ Ip:66.66.66.66 │ fulljackz/proxmox-bf │ ban │ │ │ 7 │ 3h59m51.44622068s │ 2

Conclusion

En suivant ce guide, vous avez sécurisé l'authentification de votre Proxmox contre les attaques de Bruteforce grâce à CrowdSec.

Proxmox : Template Oraclelinux9 avec Cloud-Init

Fri, 31 May 2024 22:46:12 +0200

Cette procédure va permettre de créer un template de VM Oraclelinux 9 pour Proxmox avec Cloud-Init.

L'intérêt sera de cloner ce template, puis de pouvoir se connecter directement en ssh au 1er démarrage de la VM. Le nom d'hôte, l'adressage ip, la(es) clef(s) ssh seront configurés à l'initialisation de la VM grâce à cloud-init.

Ce template pourra éventuellement être utilisé par la suite avec une solution telle que Terraform / OpenTofu.

Création du template

Se connecter sur un shell root de l'hôte Proxmox pvehost :

ssh root@pvehost

Télécharger la dernière image cloud d'Oracle Linux :

wget https://yum.oracle.com/templates/OracleLinux/OL9/u4/x86_64/OL9U4_x86_64-kvm-b234.qcow2

Installer libguestfs-tools si nécessaire et ajouter qemu-guest-agent à l'image cloud précédemment téléchargée :

apt install -y libguestfs-tools
virt-customize -a OL9U4_x86_64-kvm-b234.qcow2 --install qemu-guest-agent

Créer une VM avec l'ID 666 qui sera le template :

qm create 666 --name oraclelinux9-cloudinit --net0 virtio,bridge=vmbr1 --scsihw virtio-scsi-single

virtio-scsi-single va permettre d'activer le paramètre "iothread" pour une meilleure gestion des inputs ouputs dans ce cas.

Elle sera nommée oraclelinux9-cloudinit et la 1ère carte réseau sera rattachée au vmbr1 du serveur Proxmox.

Ajouter un nouveau disque dur importé depuis l'image cloud :

qm set 666 --scsi0 local:0,iothread=1,backup=off,format=qcow2,import-from=/root/OL9U4_x86_64-kvm-b234.qcow2

Définir le disque dur en 1er boot sur la VM :

qm set 666 --boot order=scsi0

Définir le nombre de coeurs et la mémoire RAM de la VM :

qm set 666 --cpu host --cores 2 --memory 4096

Attacher un disque Cloud-Init à la VM :

qm set 666 --ide2 local:cloudinit
qm set 666 --agent enabled=1

Ajuster les paramètres dans les options Cloud-Init qui figureront dans le template (si nécessaire) :

Ces options sont disponibles dans la WebUI du serveur Proxmox au niveau de la VM.

Plus de détails ici https://pve.proxmox.com/wiki/Cloud-Init_Support sur les différents paramétrages.

Convertir la VM en template :

qm template 666

Utilisation du template

Cloner entièrement le template en VM.

Ajuster les paramètres Cloud-Init de la VM si nécessaire.
Démarrer la VM et récupérer l'IP (si nécessaire) :

Se connecter en SSH sur la VM avec la clef ssh renseignée dans cloud-init :

julien@mypc:~$ ssh -i .ssh/demo admin@172.16.20.23
...
[admin@ol9-cloudinit ~]$ sudo -l
Matching Defaults entries for admin on ol9-cloudinit:
 !visiblepw, always_set_home, match_group_by_gid, always_query_group_plugin, env_reset, env_keep="COLORS DISPLAY
 HOSTNAME HISTSIZE KDEDIR LS_COLORS", env_keep+="MAIL PS1 PS2 QTDIR USERNAME LANG LC_ADDRESS LC_CTYPE",
 env_keep+="LC_COLLATE LC_IDENTIFICATION LC_MEASUREMENT LC_MESSAGES", env_keep+="LC_MONETARY LC_NAME LC_NUMERIC
 LC_PAPER LC_TELEPHONE", env_keep+="LC_TIME LC_ALL LANGUAGE LINGUAS _XKB_CHARSET XAUTHORITY",
 secure_path=/sbin\:/bin\:/usr/sbin\:/usr/bin

User admin may run the following commands on ol9-cloudinit:
 (ALL) NOPASSWD: ALL

Proxmox : ACME Certificate

Mon, 22 Jan 2024 21:13:13 +0100

J'ai du mettre en place un certificat proxmox pour un serveur accessible publiquement.
Donc voici une procédure pour la mise en place de certificat avec l'aide de ACME.

Nous allons générer un certificat pour notre serveur proxmox avec l'aide de la technologie ACME.

Pour cela on va passer par la methode présente dans la configuration graphique de proxmox.

Dans un premier temps on va avoir besoin de créer un compte ACME qui va être utilisé pour la génération du certificat.

Il faut se rendre dans Datacenter > ACME

Puis il suffit d'ajouter un compte comme dans le screen présent ci dessous :

Une fois que le compte a été créé nous devons faire la demande de certificat.

Pour cela il faut se rendre dans la catégorie :
Datacenter > pve > System > Certificates

Nous allons utiliser la partie HTTP.
Pour cela il faut juste renseigner le FQDN de votre serveur :
pve.domaine.fr

Une fois que le domaine a été renseigné il suffit de générer la requette avec l'aide de l'utilitaire.
Il suffit de cliquer sur son certificat > (choisir son profile) > Order certificate Now

Il vous suffira d'attendre que le certificat soit généré.

Une fois que le certificat est généré, il vous suffira de recharger votre page et votre certificat sera mis à jour.

Erreur rencontrée

J'ai eu une erreur au moment de la génération.
L'erreur rencontrée était qu'il manquait l'utilisateur "default" dans les comptes ACME.
J'ai donc créer un compte "default" avec un mail bidon. Et après j'ai pu effectuer la demande de certificat sans problème.

Proxmox : Template Debian12 avec Cloud-Init

Thu, 09 Nov 2023 14:23:19 +0100

Cette procédure va permettre de créer un template de VM Debian 12 pour Proxmox avec Cloud-Init.

Ce template pourra éventuellement être utilisé par la suite avec une solution telle que Terraform / OpenTofu.

Création du template

Se connecter sur un shell root de l'hôte Proxmox pvehost :

ssh root@pvehost

Télécharger la dernière image cloud de Debian 12 :

wget https://cloud.debian.org/images/cloud/bookworm/latest/debian-12-generic-amd64.qcow2

Installer libguestfs-tools si nécessaire et ajouter qemu-guest-agent à l'image cloud précédemment téléchargée :

apt install -y libguestfs-tools
virt-customize -a debian-12-generic-amd64.qcow2 --install qemu-guest-agent

Créer une VM avec l'ID 666 qui sera le template :

qm create 666 --name debian12-cloudinit --net0 virtio,bridge=vmbr1 --scsihw virtio-scsi-single

Elle sera nommée debian12-cloudinit et la 1ère carte réseau sera rattachée au vmbr1 du serveur Proxmox.

Ajouter un nouveau disque dur, importé depuis l'image cloud, de 20 G à la VM :

qm set 666 --scsi0 local:0,iothread=1,backup=off,format=qcow2,import-from=/root/debian-12-generic-amd64.qcow2
qm disk resize 666 scsi0 20G

Définir le disque dur en 1er boot sur la VM :

qm set 666 --boot order=scsi0

Définir le nombre de coeurs et la mémoire RAM de la VM :

qm set 666 --cpu host --cores 2 --memory 4096

Attacher un disque Cloud-Init à la VM :

qm set 666 --ide2 local:cloudinit
qm set 666 --agent enabled=1

Ajuster les paramètres dans les options Cloud-Init qui figureront dans le template (si nécessaire) :

Ces options sont disponibles dans la WebUI du serveur Proxmox au niveau de la VM.

Plus de détails ici https://pve.proxmox.com/wiki/Cloud-Init_Support sur les différents paramétrages.

Convertir la VM en template :

qm template 666

Utilisation du template

Cloner entièrement le template en VM.

Ajuster les paramètres Cloud-Init de la VM si nécessaire.
Démarrer la VM et récupérer l'IP (si nécessaire) :

Se connecter en SSH sur la VM avec la clef ssh renseignée dans cloud-init :

julien@mypc:~$ ssh -i .ssh/demo admin@172.16.20.15
...
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added '172.16.20.15' (ED25519) to the list of known hosts.
Linux vm-deb12-01 6.1.0-13-amd64 #1 SMP PREEMPT_DYNAMIC Debian 6.1.55-1 (2023-09-29) x86_64
...
admin@vm-deb12-01:~$ sudo -l
...
User admin may run the following commands on vm-deb12-01:
 (ALL : ALL) ALL
 (ALL) NOPASSWD: ALL

Par défaut l'utilisateur définit par cloud-init appartient au groupe sudo et peut exécuter absolument tout sans saisir son mot de passe.