Installation Debian
Cette page couvre les choix critiques avant l'installation, les partitions, le chiffrement, et la configuration initiale pour workstations et serveurs.
Avant d'installer
Pour la plupart des usages, la netinst est ideale : elle telecharge les paquets au fur et a mesure. Les images live servent plutot aux tests rapides.
Les firmwares non libres sont parfois necessaires (wifi, GPU). Les images "firmware" simplifient l'installation sur certains laptops.
lspci -nn | grep -i network
lsusb
uname -mPartitionnement
/ 30-50 Go ext4
/home reste du disque
swap 1-2 x RAM (si hibernation)
/boot/efi 512 Mo vfatCe schema couvre la plupart des besoins avec une separation claire des donnees utilisateurs.
/ 20-40 Go ext4
/var 20-100 Go ext4
/home selon usage
swap 4-8 Go
/boot/efi 512 Mo vfatLe /var isole les logs et les donnees applicatives pour eviter les saturations critiques du systeme.
Chiffrement
LUKS chiffre la partition physique, LVM permet de redimensionner facilement. C'est un bon compromis securite et flexibilite.
cryptsetup luksFormat /dev/sda3
cryptsetup open /dev/sda3 cryptroot
pvcreate /dev/mapper/cryptroot
vgcreate vg0 /dev/mapper/cryptrootSur machines recentes, lier LUKS a un TPM simplifie le boot sans compromettre la securite physique.
Reseau initial
Le DHCP convient a la plupart des environnements. En serveur, il faut reserver l'adresse via le routeur.
nmcli dev status
nmcli con showSur serveur, une IP fixe est incontournable. Utiliser systemd networking ou NetworkManager selon le contexte.
sudo nano /etc/network/interfaces
sudo systemctl restart networkingGarder des resolvers fiables et verifier la latence. Resolver local ou DNS cloud selon les besoins.
cat /etc/resolv.conf
systemd-resolve --statusPost-installation
Installer les outils essentiels et activer les mises a jour de securite des le premier boot.
sudo apt update
sudo apt install vim git curl htop ufw
sudo apt install unattended-upgradesNe pas travailler en root. Creer un utilisateur admin et activer le sudo avec un groupe specifique.
adduser admin
usermod -aG sudo admin
sudo -lBoot et firmware
Installer les microcodes pour corriger des bugs materiels connus et gagner en stabilite.
sudo apt install intel-microcode
sudo apt install amd64-microcode
grep microcode /var/log/dmesgSur postes modernes, Secure Boot est utile. Utiliser les paquets signes Debian pour eviter les blocages.
Un boot qui saute un disque peut venir d'une entree UEFI corrompue.
sudo efibootmgr -v
sudo efibootmgr -o 0001,0002
ls /boot/efi/EFIRoles
Pour un serveur, preferer une base sans interface graphique et un set de paquets limite.
sudo apt install openssh-server ufw fail2ban
sudo systemctl enable --now ssh
sudo ufw allow 22/tcpInstaller les outils de build, les runtimes et un set de debugging.
sudo apt install build-essential git gcc gdb
sudo apt install python3 python3-venv nodejs
sudo apt install strace lsofSnapshots
Btrfs permet des snapshots rapides du systeme, utiles avant une mise a jour majeure.
sudo btrfs subvolume create /@root
sudo btrfs subvolume snapshot /@root /@root_snap
sudo btrfs subvolume list /Avec LVM, un snapshot est simple a faire avant une operation risquee.
sudo lvcreate -L 5G -s -n root_snap /dev/vg0/root
sudo lvs
sudo lvremove /dev/vg0/root_snapAutomatisation
Preseed automatise l'installation. Versionner le preseed.cfg assure la reproductibilite.
d-i debian-installer/locale string fr_FR
d-i netcfg/get_hostname string debian-node
d-i partman-auto/method string lvm
d-i passwd/root-login boolean falseCloud-init applique users, clefs SSH et paquets des le premier boot.
cloud-init status --long
sudo cloud-init clean
sudo cloud-localds seed.iso user-data meta-dataMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
kind create cluster --name dev
kubectl get nodes
kubectl top pods -AMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
journalctl -p err -S "today"
systemctl --failed
df -hTMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
rg -n "error" /var/log
ps aux | awk '{print ,,}' | head
sort | uniq -c | sort -nrMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
dig +trace debian.org
resolvectl status
sudo systemctl restart systemd-resolvedMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
ss -tulpen
sudo awk -F: '==0 {print }' /etc/passwd
sudo find / -perm -4000 -type f 2>/dev/nullMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
sudo btrfs scrub start -Bd /
sudo zpool status
sudo zfs snapshot tank/dataMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
htop
sudo perf top
sudo strace -fp 1234Mise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
docker ps -a
docker run --read-only --cap-drop ALL app:latest
docker network lsMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
kind create cluster --name dev
kubectl get nodes
kubectl top pods -AMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
ss -tulpen
sudo awk -F: '==0 {print }' /etc/passwd
sudo find / -perm -4000 -type f 2>/dev/nullMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
sudo btrfs scrub start -Bd /
sudo zpool status
sudo zfs snapshot tank/dataMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
htop
sudo perf top
sudo strace -fp 1234Mise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
docker ps -a
docker run --read-only --cap-drop ALL app:latest
docker network lsMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
kind create cluster --name dev
kubectl get nodes
kubectl top pods -AMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
journalctl -p err -S "today"
systemctl --failed
df -hTMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
rg -n "error" /var/log
ps aux | awk '{print ,,}' | head
sort | uniq -c | sort -nrMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
dig +trace debian.org
resolvectl status
sudo systemctl restart systemd-resolvedMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
ss -tulpen
sudo awk -F: '==0 {print }' /etc/passwd
sudo find / -perm -4000 -type f 2>/dev/nullMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
sudo btrfs scrub start -Bd /
sudo zpool status
sudo zfs snapshot tank/dataMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
htop
sudo perf top
sudo strace -fp 1234Mise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
docker ps -a
docker run --read-only --cap-drop ALL app:latest
docker network lsMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
kind create cluster --name dev
kubectl get nodes
kubectl top pods -AMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
journalctl -p err -S "today"
systemctl --failed
df -hTMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
rg -n "error" /var/log
ps aux | awk '{print ,,}' | head
sort | uniq -c | sort -nrMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
dig +trace debian.org
resolvectl status
sudo systemctl restart systemd-resolvedMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
ss -tulpen
sudo awk -F: '==0 {print }' /etc/passwd
sudo find / -perm -4000 -type f 2>/dev/nullMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
sudo btrfs scrub start -Bd /
sudo zpool status
sudo zfs snapshot tank/dataMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
htop
sudo perf top
sudo strace -fp 1234Mise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
docker ps -a
docker run --read-only --cap-drop ALL app:latest
docker network lsMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
kind create cluster --name dev
kubectl get nodes
kubectl top pods -AMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
journalctl -p err -S "today"
systemctl --failed
df -hTMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
rg -n "error" /var/log
ps aux | awk '{print ,,}' | head
sort | uniq -c | sort -nrMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
dig +trace debian.org
resolvectl status
sudo systemctl restart systemd-resolvedMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
ss -tulpen
sudo awk -F: '==0 {print }' /etc/passwd
sudo find / -perm -4000 -type f 2>/dev/nullMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
sudo btrfs scrub start -Bd /
sudo zpool status
sudo zfs snapshot tank/dataMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
htop
sudo perf top
sudo strace -fp 1234Mise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
docker ps -a
docker run --read-only --cap-drop ALL app:latest
docker network lsMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
kind create cluster --name dev
kubectl get nodes
kubectl top pods -AMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
journalctl -p err -S "today"
systemctl --failed
df -hTMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
rg -n "error" /var/log
ps aux | awk '{print ,,}' | head
sort | uniq -c | sort -nrMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
dig +trace debian.org
resolvectl status
sudo systemctl restart systemd-resolvedMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
ss -tulpen
sudo awk -F: '==0 {print }' /etc/passwd
sudo find / -perm -4000 -type f 2>/dev/nullMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
sudo btrfs scrub start -Bd /
sudo zpool status
sudo zfs snapshot tank/dataMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
htop
sudo perf top
sudo strace -fp 1234Mise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
docker ps -a
docker run --read-only --cap-drop ALL app:latest
docker network lsMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
kind create cluster --name dev
kubectl get nodes
kubectl top pods -AMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
journalctl -p err -S "today"
systemctl --failed
df -hTMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
rg -n "error" /var/log
ps aux | awk '{print ,,}' | head
sort | uniq -c | sort -nrMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
dig +trace debian.org
resolvectl status
sudo systemctl restart systemd-resolvedMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
ss -tulpen
sudo awk -F: '==0 {print }' /etc/passwd
sudo find / -perm -4000 -type f 2>/dev/nullMise a jour quotidienne
Cette section est ajoutee automatiquement et vise un public confirme.
sudo btrfs scrub start -Bd /
sudo zpool status
sudo zfs snapshot tank/data