Les attaques DDoS se répartissent en trois grandes familles : les floods volumétriques qui saturent votre tuyau, les attaques de protocole qui épuisent l'état des connexions, et les floods applicatifs qui ressemblent à du trafic légitime. Chacune épuise une ressource différente, chacune exige donc une défense différente, et aucune couche à elle seule n'arrête les trois. Ce guide met en correspondance les formes d'attaque courantes avec la ressource qu'elles visent et la mitigation qui fonctionne réellement contre elles, explique ce qu'un pare-feu sur le serveur peut arrêter et ce qu'il ne peut pas, et se termine par un plan d'action concret pour la réponse à incident quand votre serveur est attaqué.

Un serveur Linux fraîchement installé ne possède aucune règle de pare-feu. Chaque listener que vous démarrez devient instantanément accessible depuis l'ensemble d'Internet. La solution est une base courte et bien comprise : default-deny en entrée, autoriser le trafic established, et une allow-list explicite pour les services que vous faites réellement tourner. Ce guide construit cette base dans nftables règle par règle, explique les points que tout le monde rate (ICMP et IPv6), montre la même politique dans ufw et firewalld, et explique comment éviter de vous verrouiller vous-même dehors, ainsi que le piège de la publication de ports Docker.

Un serveur fraîchement provisionné commence à recevoir des sondes SSH quelques minutes après la mise en ligne de son IP ; les études par honeypot montrent que la plupart des machines exposées sont attaquées en moins d'un jour. La bonne nouvelle : les défenses qui comptent tiennent dans une checklist courte et sans éclat d'une heure, pas dans un projet de recherche en sécurité. Ce guide parcourt les huit étapes dans l'ordre (utilisateurs et clés SSH, base de pare-feu, mises à jour automatiques, fail2ban, synchronisation horaire, audit des services à l'écoute et journalisation) avec les commandes exactes pour Debian/Ubuntu et la famille RHEL, plus une liste honnête de ce à quoi ne pas gaspiller votre première heure.

Connecter plusieurs sites de bureaux ou datacenters de façon sécurisée et efficace est un enjeu majeur pour les entreprises modernes. Les solutions VPN traditionnelles comme IPsec ou OpenVPN peuvent être complexes à configurer et à maintenir, surtout dans des environnements multi-sites. WireGuard propose une alternative légère et rapide, plus simple à mettre en place. VyOS 1.5 prend entièrement en charge WireGuard, ce qui en fait un excellent choix pour les organisations souhaitant interconnecter plusieurs datacenters ou sites. Dans ce guide, nous vous montrons comment mettre en place un tunnel WireGuard de site à site sur VyOS 1.5. Nous abordons le routage, la configuration du pare-feu et les bonnes pratiques. À la fin, vos sites seront connectés de façon sécurisée via internet, avec un trafic routé efficacement entre les LAN.