Chezlepro/BBB-via-ansible
1
0
Fork 0
Code Issues Pull requests Projects Releases Packages Wiki Activity Actions
Déploiement d'un serveur BBB clé en mais sur un SE Ubuntu 22.04 bastionné selon les meilleures pratiques.
2 commits 1 branch 0 tags 45 KiB
Find a file
Daniel Allaire 0a70d10bab Baseline
2026-02-08 18:21:55 -05:00
group_vars Baseline 2026-02-08 18:21:55 -05:00
roles/bbb_vps_prep Baseline 2026-02-08 18:21:55 -05:00
.gitignore Initial commit: BBB VPS prep (Ubuntu 22.04, nftables, Docker) 2026-02-08 15:50:57 -05:00
CHECKLIST_REBUILD.md Baseline 2026-02-08 18:21:55 -05:00
inventory.ini Baseline 2026-02-08 18:21:55 -05:00
Makefile Baseline 2026-02-08 18:21:55 -05:00
README.md Initial commit: BBB VPS prep (Ubuntu 22.04, nftables, Docker) 2026-02-08 15:50:57 -05:00
Runbook_BBB_VPS_Ubuntu22.04.md Baseline 2026-02-08 18:21:55 -05:00
site.yml Initial commit: BBB VPS prep (Ubuntu 22.04, nftables, Docker) 2026-02-08 15:50:57 -05:00

README.md

bbb-vps-prep (Ubuntu 22.04) — nftables + hardening + Docker (BBB 3.x ready)

Ce dépôt prépare un VPS Ubuntu 22.04 pour BigBlueButton (BBB 3.x) avec :

  • SSH durci (clés seulement, root interdit, allowlist utilisateurs)
  • nftables comme firewall (pas UFW, pas iptables en gestion humaine)
  • Docker CE (repo officiel) requis par BBB 3.x
  • compatibilité Docker : on n’efface jamais le ruleset global, on applique une table nftables dédiée (inet hostfilter)
  • fail2ban avec action nftables
  • journald persistant + rotation
  • sysctl hardening (inclut ip_forward pour Docker)
  • swapfile (utile avec 12 Go RAM)

Mise en route

  1. Éditer inventory.ini (IP du VPS)
  2. Éditer group_vars/all.yml (clé publique, CIDR SSH, FQDN)
  3. Exécuter :
make check
make run

Mode dry-run :

make dry-run

Ports ouverts (par défaut)

  • SSH: 22/TCP (restreignable par CIDR)
  • BBB: 80/TCP, 443/TCP, 16384–32768/UDP
  • TURN (cohab): 3478/TCP+UDP, 5349/TCP, 32769–65535/UDP

Notes

  • Docker gardera ses règles nécessaires au bridge/NAT; ce dépôt ajoute une couche “policy” via nftables.
  • TURN sur 443 “exclusif” n’est pas compatible cohabitation 1 IP avec nginx/BBB (on utilise 5349/TLS).