SWAG, mon reverse proxy 💖[docker, authelia, letsencrypt, fail2ban] - Découverte ! (01/XX)

[@nerone37]

Je viens de découvrir ta chaîne, une vraie mine d'information. Merci pour le partage et bravo pour la clarté de tes explications 👍

[@GuiPoM]

Merci beaucoup !

[@fabrice230]

Bonjour Guillaume. Fichtre ! Quelle classe cette vidéo ! C'est clair comme du cristal. J'adore. Merci beaucoup pour ce travail qui mériterait d'être payant, tellement il est qualitatif. En effet, certains pros expliquent moins bien.

[@GuiPoM]

Un grand merci ! 😁👍

[@paulpascual]

J’attendais avec impatience une vidéo sur les reverses proxy !!! Merci beaucoup 😊

[@GuiPoM]

Eh bien la voilà ! Ou en voilà une, plutot !

[@lionux6506]

Cette série est excellente, je n'ai pas d'autres mots. Bravo !

[@GuiPoM]

Merci !

[@theomi_]

Très intéressant comme vidéo, je recherchais ce genre de contenu il y a quelque temps et je n'avais rien trouvé d'aussi complet. Merci pour tout ce travail 😉 PS : Les parties suivantes m'intéressent également !

[@GuiPoM]

Merci ! La vidéo de demain devrait t'intéresser !

[@fabs9930]

Magnifique !!! La série de vidéos que j'attendais !!

[@GuiPoM]

Il faudra malgré tout se montrer patient ! 😁

[@remitheguik1303]

stylé de fou! ^^ je voulais SWAG juste pour la partie Lets Encrypt vu que y'a déjà une option de reverse proxy par défaut sur OMV et que y'a fail2ban dans les extensions OMV Extras, mais finalement il va plus me servir que ce que je pensais, merci pour cette découverte! ;)

[@GuiPoM]

Je pense que c'est plus complet de partir sur une solution que tu gères toi même, tu auras un peu plus de boulot pour la maintenance mais c'est plus puissant et complet.

[@co__co__]

Merci, vidéo très intéressante meme si un peu longue avec une partie redite des autres vidéos mais j’en comprend la nécessité pour quelqu’un qui arriverai juste sur cette vidéo. Hate de voir la suite, bon courage pour la suite !

[@GuiPoM]

Exactement, c'est nécessaire pour les personnes qui débarquent sur ce sujet et n'auraient pas vu le reste

[@fouedbenyoucef9214]

ah merci , ultra interessant ! une série tres attendue

[@yannickpar]

J'attends la suite avec impatience, je suis en train de monter la même chose et je galère un peu sur certains points. Genre j'ai perdu 3 heures sur un bête problème de configuration de authelia. Heureusement, j'ai installé l'ensemble via ansible, ça facilite les essais...

[@GuiPoM]

Il ne faut pas s'étonner d'y passer du temps, c'est parfaitement normal. Pour la mise en place de base d'authelia je n'y ai pas passé trop de temps mais dès qu'il s'agit d'activer openid connect et compagnie là ça se complique vraiment, et malgré leur documentation très complète. Pour moi ça fait aussi parti du processus, comprendre comment ça fonctionne c'est aussi l'enjeu, et parfois certains tutoriels font faire des choses pas très correctes (j'espère ne pas faire les mêmes erreurs!).

[@dhrions1166]

Je crois que c'est la vidéo que j'attendais ! Et quand bien même ce ne serait pas le cas, je suis sûr que ce sera très intéressant ! Merci à toi !

[@GuiPoM]

merci !

[@dhrions1166]

En fin de compte, ce n'était que la mise en bouche. Vivement la vidéo suivante !

[@GuiPoM]

@@dhrions1166 mise en bouche c'est gentil ça encore... J'ai déjà perdu une bonne partie de mon audience juste avec cette vidéo, hein. Je pense que certaine personne n'ont pas idée ...

[@goyavier]

Super vidéo ! Les bases sont très bien posées, clairement expliquées avec une très bonne diction, c'est agréable, bravo ! Pas de découverte pour moi, mais j'ai hâte de voir la suite, car je n'ai pas pu faire exactement ce que je voulais avec Traefik, puis Caddy.

[@GuiPoM]

Bon visionnage alors !

[@goyavier]

@@GuiPoM Ben super ! La deuxième vidéo m'a bien aiguillé pour la configuration de SWAG, top ! J'ai pu mettre en place tout ce que je voulais beaucoup plus facilement qu'avec Traefik ou Caddy. Le seul problème, c'est que je ne pourrai pas utiliser Fail2Ban avec Docker rootless. Si je veux l'utiliser, il faut que je passe en Docker classique, root. Un peu galère aussi, car ma VM qui héberge Docker est sur un autre LAN, ça donne parfois un comportement bizarre avec le reverse proxy vers OPNsense. Mais sinon, c'est quand même pas mal. Merci !

[@fonyxteam8019]

Bonjour, un grand merci pour ce partage, c'est super propre et nickel. tout est clair dedans. 👌

[@GuiPoM]

Avec plaisir 👍

[@duped8226]

Alors là c’est parfait comme d’habitude un sujet détaillé en plus sur plusieurs épisodes. J’attends l’explication pour authelia que j’arrive pas très bien à faire fonctionner.

[@GuiPoM]

C'est prévu ! mais je ne sais pas quand 😁

[@co__co__]

Pareil, j’attends la partie authelia !

[@viperdjfr]

Salut, vidéo au top, merci beaucoup 😉

[@GuiPoM]

De rien et merci

[@xion01xion75]

Merci pour tes vidéos, très bien expliqué.

[@GuiPoM]

Merci à toi 😊

[@sadek9016]

Je me suis pas mal pris la tête pour tout faire fonctionner chez moi. Un petit retex, qui évitera à certains de perdre un temps fou : il faudra jouer avec les paramètres pare-feu de la box Orange pour que les domains/sous-domains DuckDNS fonctionnent correctement sur le port 443 de la Livebox.

[@nicovd737]

Super vidéo merci. Vivement la suivante, on est super intéressé à notre travail !

[@GuiPoM]

Ca arrive ... demain !

[@kessen02300]

Super vidéo étant en train de monter mon nas, ça va me servir 👍 Puis je déjà installer tout mes dockers, comme jellyfin, calibre, ect avant ou fait il commencer par swag ?

[@GuiPoM]

C'est complètement indépendant.

[@Imyottax]

Bonjour ! Je n'ai pas encore regardé entièrement la vidéo, je préfère prévenir ;) Mais je me demandais, plutôt que d'exposer tes applications, pourquoi tu n'installes pas Wireguard dans un container et d'y accéder comme tu le fais à partir de ton téléphone ? Pour ma part j'ai utilisé wg-easy qui est vraiment super. Je comprends par contre que ma solution avec un VPN est moins pratique pour pouvoir accéder à tes applications depuis n'importe quelle poste sans devoir y configurer un client Wireguard. Je continue la lecture de la vidéo de ce pas. Merci pour tes vidéos !

[@GuiPoM]

Un VPN et un service web n'ont pas grand chose de comparable. Un VPN travaille au niveau réseau quand un reverse proxy travaille au niveau applicatif. Ca dépend de tes usages et de tes objectifs. Et surtout que donner un accès réseau, ce n'est pas pareil que donner accès à quelques applications ! Moi je ne souhaite pas donner un accès réseau aux personnes qui se connectent aux services que j'héberge !

[@Imyottax]

@@GuiPoM je comprends tout à fait. Mon cas d’usage principal c’est de pouvoir utiliser mon PiHole qui est chez moi depuis l’extérieur systématiquement. Je suis sur iPhone et il n’y a pas a mons nés d’anti-pub performant. Je vais m’intéresser de plus prêt à ce reverse proxy. Je connais pas mal Nginx mais celui-ci (basé sur Nginx) a l’air bien « sexy »

[@bartounet16]

Comme le dit @guipom ça dépend de tes usages Si c'est juste pour accéder ponctuellement pour administrer oui un vpn fait l'affaire La on cherche à rendre un accès public a des ressources internes. Par exemple un accès à la domotique de l'extérieur ça serait vite galère avec un vpn C'est l'équivalent d'héberger des sites web.. heureusement qu'on doit pas avoir besoin d'un vpn

[@gregoryoudard2826]

Merci pour cette présentation. J'ai hâte de voir la suite mais je suppose que cela demande beaucoup de temps de préparation pour toi. Feras tu une vidéos sur le module Authelia et son paramétrage ? j'ai du mal a conceptualiser l'authentification via Authelia sur divers app Web, y-a-t-il un paramétrage côté app ? des crédentials enrigistrés sur Authelia pour les différentes applications et est-ce compatible tout application web ? c'est un peu obscur pour moi. En tout cas je vais m'y pencher et encore merci !!

[@GuiPoM]

Oui, c'est prévu, mais quand, je ne sais pas ! Probablement deux même, l'une sur la partie authentification SSO, la seconde sur la fonctionnalité OpenId Connect qui est toujours en beta. Ce qui répond d'ailleurs à tes interrogations. SSO permet juste de bloquer l'accès à des resources, OpenId délègue l'authentification.

[@dorithoma54]

Salut, merci encore pour la qualité de vidéo J'ai une petite question : Chez qui as tu commandé ton nom de domaine ? (et est ce que tu le recommandes ?) Merci ;)

[@GuiPoM]

Peu importe, il suffit de trouver un prestataire a son goût et surtout qui peut s'intégrer à ses outils dans certaines situations: par exemple en cas d'adresse IP dynamique, un qui supporte du dyndns depuis sa box ou son routeur. Donc ça dépend surtout de ce que tu utilises.

[@shinosha5267]

Et Caddy alors ? 😁 Meilleure configuration pour moi, et le auto HTTPS est super.

[@GuiPoM]

C'est une alternative possible. Moi je n'aime pas trop, déjà c'est moins répandu dans le monde docker et kubernetes, maitriser nginx aide bien, et puis c'est à la fois un peu trop magique dans certains domaines et trop limité quand on veut configurer précisément un reverse proxy. J'aime mieux nginx qui peut lui aussi etre très simple avec proxy manager, ou dans sa version classique très pointu.

[@bartounet16]

Merci Guipom Très bonne vidéo comme d'habitude J'ai depuis longtemps un reverse proxy installé moi même sur une VM sous apache avec des vhosts et certificats achetés C'est vrai que swag fait bien envie je vais regarder ca Mais je passerai pas par docker car j'ai fait le choix de mettre mes RP dans une dmz publique sur une interface et vlan dédié de mon proxmox ( j'ai migré récemment esx vers proxmox 🤪 ) Et mon docker n'est pas en DMZ J'ai pas le courage de réinstaller encore un OMV avec portainer et docker en plus dans mon réseau dmz

[@GuiPoM]

Pourquoi installer omv ? une conteneur LXC dans proxmox avec docker installé dedans et c'est bon !

[@bartounet16]

J'ai pas encore trop regarder lxc je sais pas si on peu faire suivre les vlan de dmz Et peut ton plugger mon portainer existant avec une autre instance docker sur un autre serveur ?

[@GuiPoM]

@@bartounet16 oui, c'est le principe des agents et de swarm

[@bartounet16]

@@GuiPoM Je vais essayer alors . Je maîtrise pas encore bien LXC j'espère qu'il gère bien les vlan proxmox

[@csdevtauri]

tu expliques vraiment bien , tu as une voix très limpide. Merci pour cette demonstration. Penses-tu qu'un boitier firewalla en plus serait une bonne chose , ou c'est superflux?

[@GuiPoM]

Merci ! Je ne connais pas mais de ce que je vois non, je ne pense pas. Ca me parait assez mal fichu, autant prendre un boitier type NUC et y installer de l'outillage adapté, si ce type de services est vraiment adapté.

[@yoyo26-34]

Bonjour, très intéressant, merci. Vous n'avez pas parlé de Firewall dans votre schema, pas de firewall entre votre box et votre reverse proxy ? Cdlt

[@GuiPoM]

Il n'y a pas. Je n'en ai pas besoin dans ce type de déploiement ou un seul port est exposé et le trafic sur ce port est surveillé au niveau applicatif.

[@yoyo26-34]

@@GuiPoM très clair, merci

[@SebastienROQUAIN]

Merci pour la vidéo. Une question: quelle est la différence entre faire du NAT sur l'adresse du reverse proxy (et donc renvoyer tout le flux internet vers cette machine - par exemple en ouvrant le port 443) et placer le reverse proxy en DMZ ( en paramétrant le FW de façon à ce qu'il n'autorise que les connexions sur le port 443) ?

[@GuiPoM]

Ce sont deux approches différentes, les deux ont du sens. Soit tu isoles les machines qui sont exposées à internet en DMZ, et dans ce cas en cas de problème on ne peut pas rebondir dans ton réseau interne. Soit tu fais du NAT, mais si quelqu'un arrive à passer les sécurités mises en place, il n'a pas accès qu'à la machine, mais à tout le réseau. Par contre il est aussi possible avec un bon routeur de créer des VLANs qui peuvent restreindre les capacités de communications entre les machines, et ça peut encore etre une troisième alternative. Personnellement je n'utilise pas de DMZ car ma machine swag doit pouvoir discuter facilement avec d'autres machines du réseau.

[@christianm.4784]

Bonjour Merci pour cette vidéo très intéressante. Question : Plutôt que de devoir gérer un nom de domaine "public" et ne pas se contenter d'une résolution DNS par le fichier Hosts sur le device client. L'inconvénient est de diffuser ce fichier sur tous les devices concernés. Mais cela ne devrait pas poser un problème dans le cadre d'un usage privé.

[@GuiPoM]

C'est mon cas, je l'ai expliqué dans ma vidéo sur le DHCP, mon serveur est résolu en interne via mon serveur DHCP sur une adresse interne. Mais j'ai aussi besoin de mes services hors de chez moi, et j'ai donc aussi un nom de domaine pour mon adresse publique.

[@boomerangBS]

Je sais pas pourquoi mais pour moi la DMZ forward tout les port au serveur mais le serveur peut acceder au reste du reseau local...(livebox 5)

[@boubou40]

Super ! je vais essayer SWAG, même si l'interface de npm est zolie je préfère avoir la main sur les fichiers

[@GuiPoM]

J'ai essayé npm, d'ailleurs j'ai toujours les conteneurs fonctionnels, c'est pour moi plus complexe puisque ça nécessite une base de données, mais aussi bien plus facile à prendre en main au début pour réaliser les premiers proxys et gérer la sécurité. C'est après que la facilité devient bien moins flagrante.

[@sebba8054]

Merci pour cette video. SWAG fonctionnait jusqu'à la dernière version qui integre iptable 1.8.x non compatible avec mon host. Dommage

[@jean-christophewebre5090]

Salut encore merci pour tes vidéos. un truc que je n'arrive toujours pas a comprendre et a gérer, c'est comment rediriger mes requêtes https (port 443) vers la bonne machine. j'ai un nextcloud fonctionnel et accessible depuis un domaine duckdns et si je souhaite à accéder a une deuxième machine en https je ne sais pas comment m'y prendre ? Comment gérer ca depuis mon reverse proxy swag ?

[@GuiPoM]

C'est dans la page d'accueil de nginx : docs.nginx.com/nginx/admin-guide/web-server/reverse-proxy/ un matcher, location, identifie la requete. Et une directive, proxy_pass, indique sur quelle URL aller taper, soit en local, soit distante.

[@Worlixz]

Bonjour, J'ai une question si je n'ai pas envie de me prendre la tête avec le renouvellement des certificats let's encrypt est-ce que je peux facilement acheter un nom de domaine et le connecté à swag afin de ne pas passer par DuckDNS ?

[@GuiPoM]

Ca ne change rien, ça n'a pas de lien. Si tu achètes un nom de domaine tu devras générer un certificat lié à celui ci et qui aura une durée de vie de 3 mois (90 jours), puisque c'est ce que génère let's encrypt.

[@Thurro64]

Merci pour ces séries de vidéos !! Est ce que tu pourrais faire une vidéo pour expliquer comment ta base de données est connectée entre NextCloud et JellyFin? Je pense que j'ai un souci d'user car NextCloud est correctement paramétré derrière mon proxy NGINX mais JellyFIn n'arrive pas à avoir accès aux données stockées dans Nextclouddb. Merci encore !

[@GuiPoM]

J'utilise la version de base de jellyfin qui exploite une base de données embarquée, SQLite me semble-t-il, donc je n'ai pas ce type de problème.

[@SMITELIFT]

Hello, je déjà regardé pas mal de tes vidéos, comment d'autres commentaires le disent elle sont pleins d'informations, vraiment au top. j'ai une question sur le reverse proxy, je les fais pour avec accès a mon serveur plex depuis l'extérieurs, et quelque jours après j'ai activé le dashboard de swag et j'ai pu voir des ip venant de pleins de pays différents. J'ai donc fait des recherches et activé geoip (maxmind) pour bloqué l'accès au ip qui ne sont pas française, j'ai pu essayer avec un vpn et sa me mets bien une erreur 404. je voulais savoir si avoir de ip d'autre pays est normale et si vous aussi ?(en 3 jours le dash m'indique il y a eu 53 visiteur unique) ? Désolé pour le pavé ;)

[@GuiPoM]

Oui, c'est normal, internet est peuplé de robots, de machines piratées qui scannent en continu à la recherche de proies, de hackers, de gens malintentionnés. Et surtout venant de certains pays en particulier. C'est bien pour ça qu'il faut se sécuriser au maximum.

[@tankouguebenedo5556]

Merci d’avance

[@paddawan84]

Nexcloud supporte le SSO il me semble

[@GuiPoM]

Oui, mais il me semble que l'application SSO n'est pas compatible Nextcloud 23. Et il y a aussi du OpenID mais du coup on perd l'intérêt de l'authentification unique avec le reste. Surtout ce qui est le plus embetant je trouve c'est que je n'ai pas trouvé pour le moment de moyen de dissocier les utilisateurs qui peuvent accéder à Nextcloud des utilisateurs connus de authelia.

[@kristof9497]

Merci.

[@tankouguebenedo5556]

Une formation sur duplicati

[@lesagejn]

Bjr, oui ça serait au top même si on a quelques infos incluses dans plusieurs vidéos de cette chaîne. La liste des sujets s'agrandit 😉. En tout cas, j'ai découvert cette chaîne récemment et c'est une mine d'or d'information. Merci pour tout le travail fait 👍

[@tankouguebenedo5556]

👍👍👍👍👍👍👍👍👍👍👍👍👍👍

[@davidmeusnier9430]

Chez Bouygues, c'est IP fixe.

[@valerysimo5979]

sensei je suis ton disciple

[@GuiPoM]

🐱‍👤

[@abdoahmed1231]

j'ai une question svp Lorsque j'utilise un serveur proxy et que je suis des personnes sur Instagram, le suivi n'est pas fait, par exemple, j'ai 5 abonnés sur Instagram et je demande à suivre 100 personnes, ce compte n'est pas fait, ils suivent toujours 5 personnes , je veux juste savoir comment cela se produit, l'effet du proxy inverse ou du proxy direct ou les demandes envoyées peuvent-elles être redirigées s'il vous plaît aidez-moi

[@GuiPoM]

Cette question est difficilement compréhensible et n'a aucun rapport avec le sujet abordé ici.

[@tankouguebenedo5556]

Une formation sur duplicati

[@GuiPoM]

Le contenu que je fais n'a rien à voir avec une "formation", loin de là. Je partage juste mon expérience. Et peut être un jour je ferai du contenu sur duplicati, mais c'est pas gagné, faut que je trouve du temps !