Migration du reverse proxy depuis un Raspberry Pi (Arch/ARM + Apache2 + Certbot) vers un NUC (Debian 13 + Docker + Caddy).

Objectifs : maintenabilité, robustesse, open-source, surveillance.

• Debian 13 “Trixie” (stable depuis le 09/08/2025, support jusqu'en 2030)
• Installation minimale : serveur SSH + utilitaires usuels, pas de GUI
• Noyau : linux-image-amd64 (méta-paquet, suit les MAJ de sécurité)
• Bootloader : GRUB (défaut Debian, robuste avec LVM)

Disque NVMe 250 Go, LVM + ext4, pas de chiffrement.

VG volumes :

lvextend -L +20G /dev/volumes/lv-var
resize2fs /dev/volumes/lv-var

• Routeur : OpenWrt (192.168.1.90, fait aussi office de DNS local)
• NUC : IP fixe 192.168.1.25 via réservation DHCP (MAC cc:28:aa:47:ea:ab)
• Cette IP était celle de l'ancien proxy → bascule transparente (redirections de ports et noms internes inchangés)

• Interface enp1s0 gérée par ifupdown (/etc/network/interfaces, iface enp1s0 inet dhcp)
• Renouvellement bail DHCP :

  sudo sh -c 'ifdown enp1s0; ifup enp1s0'

# Sur OpenWrt
sed -i '/cc:28:aa:47:ea:ab/d; /192.168.1.25/d' /tmp/dhcp.leases
/etc/init.d/dnsmasq restart

ufw default deny incoming
ufw default allow outgoing
ufw allow 22/tcp     # SSH
ufw allow 80/tcp     # HTTP (ACME challenge)
ufw allow 443/tcp    # HTTPS
ufw allow 443/udp    # HTTP/3
ufw enable

/etc/fail2ban/jail.local :

[DEFAULT]
bantime  = 1h
findtime = 10m
maxretry = 5

[sshd]
enabled = true

• Clé SSH (ed25519) poussée via ssh-copy-id avant durcissement
• PermitRootLogin no
• PasswordAuthentication no

• unattended-upgrades activé (sécurité)

• Docker 29 + Compose v5 (install via get.docker.com)
• Projet dans /opt/proxy/

Reverse proxy + TLS automatique (Let's Encrypt), remplace Apache2 + Certbot.

/opt/proxy/docker-compose.yml :

services:
  caddy:
    image: caddy:alpine
    restart: unless-stopped
    dns:
      - 192.168.1.90    # DNS local OpenWrt (résout les noms internes : cahute, etc.)
      - 1.1.1.1         # secours public
    ports:
      - "80:80"
      - "443:443"
      - "443:443/udp"
    volumes:
      - ./caddy/Caddyfile:/etc/caddy/Caddyfile:ro
      - caddy_data:/data
      - caddy_config:/config

volumes:
  caddy_data:
  caddy_config:

/opt/proxy/caddy/Caddyfile

Modèle d'un vhost (cas proxy HTTPS→HTTPS vers cahute) :

blog.beafrancois.fr {
    redir / /blog/ 301
    reverse_proxy https://cahute.beafrancois.fr {
        header_up Host blog.beafrancois.fr
        transport http {
            tls_insecure_skip_verify
        }
    }
    header Strict-Transport-Security "max-age=15768000; includeSubDomains; preload"
}

/etc/docker/daemon.json :

{
  "log-driver": "json-file",
  "log-opts": { "max-size": "50m", "max-file": "5" }
}

/etc/systemd/journald.conf :

SystemMaxUse=2G

Opération manuelle, faite sur le proxy. Aucune mise à jour automatique de conteneur (pas de Watchtower) : une régression ne doit jamais arriver sans avoir été déclenchée.

cd /opt/proxy
 
# 1. Sauvegarder la config avant toute manip
sudo cp -a /opt/proxy /root/proxy-$(date +%F)
 
# 2. Noter la version en cours (pour le rollback)
docker compose exec caddy caddy version
 
# 3. Télécharger la nouvelle image
docker compose pull
 
# 4. Recréer le conteneur
docker compose up -d
 
# 5. Contrôler
docker compose logs --tail 40 caddy | grep -Ei "obtained|error|panic"
for h in blog dav git musique nuage wiki service; do
  echo -n "$h : "; curl -sI -o /dev/null -w '%{http_code}\n' https://$h.beafrancois.fr
done

Rollback : remettre le tag de version précis de l'ancienne version dans le compose (image: caddy:2.x.y-alpine), puis docker compose up -d. Les certificats sont dans le volume caddy_data et ne sont pas perdus : le retour arrière est immédiat.

docker compose exec caddy caddy validate --config /etc/caddy/Caddyfile

1. Baisser le TTL DNS à 60s (J-24h)
2. Démarrer Caddy sur le NUC (échecs ACME normaux tant que le trafic n'arrive pas)
3. Basculer la réservation DHCP / redirection routeur vers le NUC
4. Vérifier l'obtention des certificats :

   docker compose logs -f caddy | grep -E "obtained|error"

5. Tester chaque service (curl -sI)
6. Rollback : remettre l'ancienne IP/redirection sur OpenWrt → retour immédiat au Raspi
7. Après 48 h de stabilité : éteindre le Raspi

# Recharger la config après modif du Caddyfile
docker compose exec caddy caddy reload --config /etc/caddy/Caddyfile
 
# Recharger la config après modif du Caddyfile (avec coupure des connexions)
docker compose restart caddy
 
# Vérifier la syntaxe du Caddyfile sans l'appliquer
docker compose exec caddy caddy validate --config /etc/caddy/Caddyfile
 
# Suivre les logs
docker compose logs -f caddy
 
# État des conteneurs
docker compose ps
 
# Espace disque / LVM
df -h && vgs && lvs

• Épingler le tag Caddy sur une version exacte plutôt que alpine
• Surveillance : Grafana + Prometheus + Loki + cAdvisor (prévu, non encore déployé)
• Sauvegarde du volume caddy_data (certificats) — ex. restic
• Optionnel : logwatch, rkhunter
• Créer l'enregistrement DNS shell si ce service doit revenir