Ssh
guest@6admin.io:~$ ls ~/tags/ssh
Windows 11 pour des machines de build: le mauvais outil
Windows 11 client sur des machines de build bare-metal, headless, en salle serveur: le détail des frictions de provisioning et d'exploitation et pourquoi Windows Server avec Desktop Experience fait le même travail pour une fraction de la peine.
Piloter opencode derrière un tunnel SSH, avec direnv
Le prolongement de ma config ssh et git : un .envrc direnv qui monte un tunnel SSH auto-réparant par projet, route opencode et un agent de code vers un gateway distant et ouvre un SOCKS5 pour le navigateur et proxychains. Non bloquant, throttlé et toujours exit 0.
myflec: un framework de dotfiles Bash pour gens qui déploient leur home
Un loader qui source les modules core d'abord, un backup bare-git qui pousse vers trois forges, un deploy rsync avec dry-run et backups automatiques et des identités SSH découpées par arbre de projets. Mon framework de home directory, expliqué.
Piloter Windows depuis Ansible sans fuiter d'identifiants
Transport Ansible vers Windows: WinRM, Kerberos contre NTLM et comment ne pas promener des identifiants de domaine en clair.
Durcir Proxmox VE
Durcissement de Proxmox VE: accès à l'interface web, séparation des réseaux, cluster et sshd de l'hyperviseur.
Durcir SSH : contrôle d'accès et surveillance
Durcir sshd sans se mentir: pas de root, comptes nominatifs, clés uniquement et la surveillance qui rend les actions imputables.
Le trafic entrant : exposer moins et garder ce qui reste
Sécuriser le trafic entrant: pare-feu, exposition minimale, reverse proxy et terminaison TLS propre.
The Bastion et Guacamole : les deux battants de la porte d'entrée
Le Bastion d'OVHcloud pour les gens du shell, Apache Guacamole pour les gens du bureau: deux approches d'un même problème, qui a le droit de toucher à quoi et qui a regardé quoi.
SSH en 2021 : ce que treize ans ont changé depuis la série de 2008
La série SSH de ce blog s'arrêtait en 2013 avec PKCS#8. Voici la version 2021, complète et sécurisée: Ed25519, les clés FIDO2, les certificats, le durcissement sshd, Include et Match, ProxyJump et le multiplexage. Ce que 2008 faisait avec espoir, 2021 le fait avec des primitives.
Portknocking et tunneling SSH : les tours de magie d'avant WireGuard
WireGuard arrive en 2016 et rend déplacés deux montages chéris de 2008: le portknocking (avec génération automatique de combinaisons, NTP obligatoire et clé USB encfs) et le tunneling SSH. Le ton de l'époque, la démonstration en entreprise jusqu'en 2018 chez un hébergeur et pourquoi un VPN qui ne dit rien gagne.
Hardening SSH : la trilogie de 2017 relue en 2026
En 2017 je répondais à un article de hardening SSH naïf en trois commentaires : root, port, clés. Neuf ans plus tard, les principes tiennent, le contexte a changé : bastions, Windows natif, chaîne d'approvisionnement du client et la menace physique qu'aucune config ne couvre.
SSH : ProxyJump et le multi-hop moderne
ProxyJump, l'option -J arrivée avec OpenSSH 7.3, remplace le vieux ProxyCommand + nc pour traverser un ou plusieurs rebonds. Plus court en ligne de commande, plus propre en config et sans clé qui traîne sur le bastion.
Ansible avant Ansible : ssh, un CSV et un moteur de template
Avant qu'Ansible n'existe, il y avait mon bricolage de 2006-2007: une liste d'hôtes, une boucle ssh, des variables d'inventaire dans un CSV, du bash pur et un moteur de template dont j'ai honteusement oublié le nom. Archéologie assumée de ce qui a marché, de ce qui manquait et de ce qu'Ansible a plus tard rendu explicite.
SSH : Augmenter la sécurité de vos clefs avec PKCS#8
Convertir les clés SSH RSA en PKCS#8 avec un chiffrement 3DES renforcé, le dernier article de la série SSH d'origine.
SSH : Restreindre une connexion via clefs privée/publique
Les options authorized_keys pour cantonner une clé SSH sans passphrase à l'exécution d'une tâche précise.
SSH : Authentification multiple avec clefs privés/publiques
Utiliser plusieurs clefs SSH avec des identités distinctes, une par serveur et éviter le Too many authentication failures.
DevOps, un mot sur ce que je bricolais déjà
Le mot DevOps commence à circuler et je me reconnais dans ce qu'il décrit, à ma petite échelle: ssh et un CSV, git et des hooks bash, gitolite par-dessus. Ce que ça m'évoque et la part honnête de pourquoi le mur ne m'a jamais beaucoup gêné.
Puppet : mes premiers modules ou le passage de la boucle ssh à la déclaration
Après mes scripts bash et mon CSV d'inventaire, Puppet: le triptyque install/config/service, les sélecteurs $::operatingsystem et les chaînes require/notify. Ce que la déclaration apporte à la boucle ssh.
Screen : un multiplexeur de terminal
GNU Screen, le multiplexeur qui permet à plusieurs programmes de tourner en même temps depuis une seule interface et de survivre au logout.
SSH: rsync sécurisé
Rsync over SSH, la sauvegarde incrémentale sur le canal chiffré.
SSH: SSH filesystem
Sshfs, le montage de filesystem distant via SSH et FUSE.
Polipo : un proxy ultra-simple
Polipo, le proxy web cache en 1000 lignes de C et pourquoi on l'utilise derrière un tunnel SSH.
Fail2ban : lutter contre le bruteforcing
Fail2ban, le bouncer qui bannit les IP qui essayent de forcer vos services, en lisant les logs.
SSLH : ssh et https sur le même port
Un mémo de 2007: sslh multiplexe ssh et https sur le port 443, le port unique des pare-feux paranoïaques. Comment ça marche, ce que ça permet et pourquoi (edit 2026) on ne le mettrait plus en prod de nos jours.
SSH: tunneling
Le tunneling SSH, faire traverser n'importe quel protocole par le canal chiffré.
SSH: authentification via clefs privé/publique
Les clefs SSH, l'alternative au mot de passe qui est aussi un mécanisme d'autorisation.
Magic SysRq : la béquille du sysadmin
La touche SysRq du kernel, la séquence REISUB et pourquoi c'est la dernière chose que vous ferez avant de tirer la prise.
SSH: fish comme un poisson
Le protocole fish de KDE, le file transfert over SSH que Konqueror fait nativement.