Ubuntu Server : actions après l'installation

Checklist à suivre sur un serveur Ubuntu fraîchement installé (24.04 ou 26.04). Les étapes sont indépendantes, mais l’ordre proposé évite de se verrouiller hors du serveur. Les exemples utilisent des noms génériques (admin, serveur1).

1. Mettre à jour le système

sudo apt update
sudo apt full-upgrade
[ -f /var/run/reboot-required ] && echo "Redémarrage nécessaire"
sudo reboot     # si nécessaire

2. Nom, fuseau horaire et langue

sudo hostnamectl set-hostname serveur1
sudo timedatectl set-timezone Europe/Paris
timedatectl                                  # vérifier l'heure et la synchronisation
sudo locale-gen fr_FR.UTF-8
sudo update-locale LANG=fr_FR.UTF-8

La synchronisation de l’heure diffère selon la version :

Version	Service	Vérification
Ubuntu 24.04	`systemd-timesyncd`	`timedatectl timesync-status`
Ubuntu 26.04	`chrony`	`chronyc tracking`

3. Utilisateur d’administration

Le compte root est verrouillé par défaut : l’administration passe par sudo.

sudo adduser admin                 # crée un utilisateur
sudo usermod -aG sudo admin        # lui donne les droits d'administration
id admin                           # vérifier les groupes
sudo -l -U admin                   # vérifier les droits sudo

4. Connexion SSH par clé

Depuis le poste local (pas depuis le serveur) :

ssh-keygen -t ed25519 -C "poste-de-travail"
ssh-copy-id admin@adresse-du-serveur
ssh admin@adresse-du-serveur       # doit se connecter sans mot de passe

5. Sécuriser SSH

Créer un fichier de configuration dédié, chargé avant ceux de cloud-init (ordre alphabétique : le premier réglage rencontré l’emporte) :

sudo tee /etc/ssh/sshd_config.d/00-durcissement.conf <<'CONF'
PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin no
CONF
sudo sshd -t                       # vérifie la syntaxe
sudo systemctl reload ssh

Changer de port (facultatif, réduit le bruit des scans mais n’est pas une protection) : sur Ubuntu, SSH démarre par activation de socket, donc modifier Port dans sshd_config ne suffit pas. Après avoir ajouté Port 2222 dans un fichier de /etc/ssh/sshd_config.d/ :

sudo sshd -t
sudo systemctl daemon-reload
sudo systemctl restart ssh.socket

Autoriser le nouveau port dans le pare-feu avant de se déconnecter (étape suivante).

6. Pare-feu (UFW)

Autoriser SSH avant d’activer le pare-feu :

sudo ufw allow OpenSSH
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 80,443/tcp          # si le serveur héberge un site web
sudo ufw enable
sudo ufw status verbose

Avec un port SSH personnalisé : sudo ufw allow 2222/tcp. Supprimer une règle : sudo ufw status numbered, puis sudo ufw delete <numéro>.

7. Mises à jour de sécurité automatiques

sudo apt install unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades    # répondre « Oui »
sudo unattended-upgrade --dry-run --debug          # simulation

Redémarrage automatique si une mise à jour l’exige (facultatif), dans /etc/apt/apt.conf.d/50unattended-upgrades :

Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:00";

8. Protéger SSH contre les tentatives répétées (Fail2ban)

sudo apt install fail2ban
sudo tee /etc/fail2ban/jail.local <<'CONF'
[sshd]
enabled = true
backend = systemd
maxretry = 5
findtime = 10m
bantime = 1h
CONF
sudo systemctl enable --now fail2ban
sudo fail2ban-client status sshd

9. Adresse IP fixe (Netplan)

Par défaut, le réseau est configuré en DHCP. Fichier d’exemple pour une adresse fixe, à adapter (nom de l’interface avec ip -br link) :

sudo tee /etc/netplan/60-reseau-fixe.yaml <<'CONF'
network:
  version: 2
  ethernets:
    enp1s0:
      dhcp4: false
      addresses: [192.168.1.50/24]
      routes:
        - to: default
          via: 192.168.1.1
      nameservers:
        addresses: [1.1.1.1, 9.9.9.9]
CONF
sudo chmod 600 /etc/netplan/60-reseau-fixe.yaml
sudo netplan try        # applique avec retour automatique en arrière si la connexion est perdue

Valider avec Entrée dans le délai imparti. Si cloud-init régénère la configuration réseau à chaque démarrage, la désactiver :

echo 'network: {config: disabled}' | sudo tee /etc/cloud/cloud.cfg.d/99-disable-network-config.cfg

10. Vérifier le swap

L’installateur crée en général un fichier de swap. Vérifier, et en créer un sinon :

swapon --show
free -h

sudo fallocate -l 2G /swapfile
sudo chmod 600 /swapfile
sudo mkswap /swapfile
sudo swapon /swapfile
echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstab

11. Ubuntu Pro (optionnel)

Ubuntu Pro prolonge les mises à jour de sécurité (ESM) et active Livepatch (correctifs du noyau sans redémarrage). Il est gratuit pour un usage personnel sur un nombre limité de machines (voir ubuntu.com/pro).

sudo pro attach <jeton>
pro status
sudo pro enable livepatch

12. Contrôles finaux

sudo ss -tulpn                              # ports en écoute : seuls les services attendus doivent apparaître
systemctl --failed                          # services en échec
systemctl list-unit-files --state=enabled   # services activés au démarrage
sudo ufw status verbose
last -n 10                                  # dernières connexions

Ubuntu 24.04 et 26.04 : différences à connaître

Pour aller plus loin

Outils complémentaires : Outils utiles
Commandes courantes : Commandes utiles
Documentation officielle : documentation.ubuntu.com/server