4.1 KiB
16. Notes et Pieges
Pieges frequents
UFW vs ISPConfig
Ne jamais utiliser UFW avec ISPConfig. ISPConfig gere le firewall via iptables. Desactiver UFW : ufw disable.
Ports bloques par l'hebergeur
Contabo bloque certains ports non-standard au niveau de son firewall externe. Toujours tester l'acces depuis l'exterieur apres ouverture d'un port.
Page "Welcome to your website" ISPConfig
Apres creation d'un sous-domaine, la page par defaut ISPConfig peut s'afficher. Solutions :
- Verifier que SSL/Let's Encrypt est bien coche
- Supprimer
standard_index.html:find /var/www/ -path "*<sous-domaine>*standard_index*" -delete
DNS Templates : NS personnalises
Les templates DNS doivent pointer les NS vers le domaine serveur principal (ex: ns1.z-ana.com) et non ns1.{DOMAIN}. Sinon les domaines heberges auront des problemes de delegation.
Domaines .ci chez MTN
- Les glue records vers le meme domaine ne fonctionnent pas dans l'interface
- Solution : pointer les NS vers le domaine principal du serveur
- Le support est lent — prevoir des delais
Dovecot SNI
Le SNI doit etre configure dans dovecot.conf principal, pas dans conf.d/10-ssl.conf. ISPConfig ecrase les fichiers conf.d.
Redis conflit de ports
Si vous installez un service Docker avec Redis en network_mode: host, utiliser un port different (ex: 6380) pour eviter le conflit avec le Redis systeme (6379).
Guacamole et Tomcat 10
Guacamole 1.5.5 n'est pas compatible avec Tomcat 10 (Ubuntu 24.04). Utiliser Docker a la place.
wg-easy PASSWORD vs PASSWORD_HASH
Les versions recentes de wg-easy exigent un hash bcrypt (PASSWORD_HASH) au lieu du mot de passe en clair (PASSWORD).
MAILER_DSN Symfony
Pour envoyer des mails via Postfix local : smtp://127.0.0.1:25?auto_tls=false. Sans auto_tls=false, Symfony tente STARTTLS qui echoue localement.
Permissions Symfony
Apres connexion SSH, executer newgrp clientX pour activer le groupe et acceder au dossier du projet.
Certificat ISPConfig vs mail
Le certificat dans ispserver.crt est utilise pour le panel ISPConfig ET Dovecot/Postfix par defaut. Garder le certificat du domaine principal. Le SNI gere les certificats specifiques par domaine mail.
Propagation DNS
- OVH : quasi instantanee
- MTN/Cloud4Africa (.ci) : peut prendre des heures
- Utiliser
dig @8.8.8.8 <domaine> A +shortpour verifier
Ports utilises
| Port | Service | Protocole |
|---|---|---|
| 22/50022 | SSH | TCP |
| 25 | SMTP | TCP |
| 53 | DNS | TCP+UDP |
| 80 | HTTP | TCP |
| 110 | POP3 | TCP |
| 143 | IMAP | TCP |
| 443 | HTTPS | TCP |
| 465 | SMTP SSL | TCP |
| 587 | SMTP submission | TCP |
| 993 | IMAP SSL | TCP |
| 995 | POP3 SSL | TCP |
| 2812 | Monit | TCP |
| 3000 | Gitea | TCP |
| 3100 | Grafana | TCP |
| 3101 | Loki | TCP |
| 3306 | MariaDB | TCP |
| 3478 | TURN UDP | UDP |
| 5349 | TURN TLS | TCP |
| 6379 | Redis systeme | TCP |
| 6380 | Redis LiveKit | TCP |
| 7880 | LiveKit signal | TCP |
| 7881 | LiveKit TCP | TCP |
| 7882 | LiveKit UDP | UDP |
| 8061 | Yacht | TCP |
| 8080 | ISPConfig | TCP |
| 8081 | ISPConfig apps | TCP |
| 8085 | Guacamole | TCP |
| 9050 | Portainer | TCP |
| 9080 | Promtail | TCP |
| 9090 | Prometheus | TCP |
| 10000 | Webmin | TCP |
| 51820 | Wireguard | UDP |
| 51821 | wg-easy interface | TCP |
| 1280 | Vaultwarden | TCP |
| 1281 | Heimdall | TCP |
Architecture des sous-domaines
| Sous-domaine | Service | Proxy vers |
|---|---|---|
| mail.* | Roundcube | localhost:8080/webmail/ |
| rspamd.* | Rspamd | localhost:8081/rspamd/ |
| autoconfig.* | Config mail auto | Fichiers XML directs |
| autodiscover.* | Config Outlook | Fichiers XML directs |
| webmin.* | Webmin | localhost:10000 |
| portainer.* | Portainer | localhost:9050 |
| yacht.* | Yacht | localhost:8061 |
| grafana.* | Grafana | localhost:3100 |
| wireguard.* | Wireguard | localhost:51821 |
| vaultwarden.* | Vaultwarden | localhost:1280 |
| heimdall.* | Heimdall | localhost:1281 (HTTPS) |
| guacamole.* | Guacamole | localhost:8085/guacamole |
| dbmanage.* | phpMyAdmin | Direct (Alias) |
| wordpress.* | Wordpress | Direct |
| nextcloud.* | Nextcloud | Direct |
| gitea.* | Gitea | localhost:3000 |