Quêtes de Sysadmin

English

Pour les enseignant·es

Chaque chapitre est une petite mission sur un serveur simulé, avec de vraies commandes. Le jeu vérifie le résultat sur l'état du système, pas la commande exacte : plusieurs solutions correctes passent, et chaque chapitre se termine par un débrief (ce qui s'est passé, la bonne pratique, la documentation officielle).

16 histoires, 73 chapitres, environ 36 h 15 en tout. Les durées sont indicatives (une dizaine de minutes pour s'installer, puis quelques minutes par étape vérifiée) : un groupe débutant prendra plus de temps.

Organiser une séance

L’Effaceur

Une créature efface tout dans le royaume. Se déplacer, créer, chercher, les permissions et sudo, puis les sauvegardes.

4 chapitres, environ 1 h 35.

  1. Chapitre 1 : L’Île du Phare

    Objectif
    Se repérer et se déplacer : ls, cd, pwd, cat, mv, les fichiers cachés.
    Avant
    Rien : on part de zéro.
    Commandes découvertes
    ls, cd, pwd, cat, less, mv
    Durée indicative
    20 min

  2. Chapitre 2 : Le Bourg

    Objectif
    Chercher, créer, copier, effacer : grep, touch, cp, mkdir, rm.
    Avant
    « L’Île du Phare »
    Commandes découvertes
    grep, rm, touch, cp, mkdir
    Durée indicative
    35 min

  3. Chapitre 3 : La Racine

    Objectif
    Les permissions et l’administration : ls -l, chmod, whoami, sudo.
    Avant
    « Le Bourg »
    Commandes découvertes
    chmod, whoami, sudo
    Durée indicative
    20 min

  4. Chapitre 4 : La Sauvegarde

    Objectif
    Plus jamais ça : sauvegarder avec rsync, chaque nuit avec cron, et savoir restaurer.
    Avant
    « La Racine »
    Commandes découvertes
    nano, rsync, crontab
    Durée indicative
    20 min

Le Datacenter

Un site en panne, une nouvelle recrue, une nuit de redémarrage, un incendie, un certificat expiré : journaux, tubes |, comptes et groupes, systemd, apt, nginx, sauvegardes, TLS.

5 chapitres, environ 2 h 35. S'ouvre dans le jeu après « La Racine » (L’Effaceur), sauf en ouverture directe : 

<quetes-de-sysadmin histoire="datacenter"></quetes-de-sysadmin>

  1. Chapitre 1 : Premier jour

    Objectif
    Lire un journal de serveur, enchaîner les commandes avec |, écrire avec > et >>, arrêter un processus.
    Avant
    « La Racine » (L’Effaceur) (ou une ouverture directe).
    Commandes découvertes
    head, tail, wc, cut, sort, uniq, echo, tee, ps, kill, systemctl
    Durée indicative
    45 min

  2. Chapitre 2 : Deuxième jour

    Objectif
    Une nouvelle recrue : comptes et groupes, id, usermod -aG, chgrp, chmod pour le groupe.
    Avant
    « Premier jour »
    Commandes découvertes
    groups, usermod, chgrp, chown
    Durée indicative
    30 min

  3. Chapitre 3 : La nuit du redémarrage

    Objectif
    Des services qui ne repartent pas : systemctl, journalctl, enable, et vérifier après un redémarrage.
    Avant
    « Deuxième jour »
    Commandes découvertes
    journalctl, reboot
    Durée indicative
    25 min

  4. Chapitre 4 : Le grand incendie

    Objectif
    Le datacenter a brûlé : repartir d'une machine vide avec les sauvegardes, apt, tar et nginx -t.
    Avant
    « La nuit du redémarrage »
    Commandes découvertes
    du, df, apt, tar, nginx, curl
    Durée indicative
    30 min

  5. Chapitre 5 : Le certificat a expiré

    Objectif
    Le cadenas a sauté : certbot, le défi HTTP, openssl, et un renouvellement qui marche tout seul.
    Avant
    « Le grand incendie »
    Commandes découvertes
    certbot, openssl
    Durée indicative
    25 min

Le Paquet perdu

« Internet ne marche plus » : enquête de proche en proche avec ping, dig, traceroute et curl.

1 chapitre, environ 35 min. S'ouvre dans le jeu après « La Racine » (L’Effaceur), sauf en ouverture directe : 

<quetes-de-sysadmin histoire="paquet"></quetes-de-sysadmin>

  1. Chapitre 1 : Le Paquet perdu

    Objectif
    Trouver où se perd un message, couche par couche : ping, dig, traceroute, curl.
    Avant
    « La Racine » (L’Effaceur) (ou une ouverture directe).
    Commandes découvertes
    ping, dig, traceroute
    Durée indicative
    35 min

La Machine à remonter le temps

Le manuscrit d’Inès est abîmé : voyager dans ses versions avec git.

1 chapitre, environ 25 min. S'ouvre dans le jeu après « La Racine » (L’Effaceur), sauf en ouverture directe : 

<quetes-de-sysadmin histoire="temps"></quetes-de-sysadmin>

  1. Chapitre 1 : La Machine à remonter le temps

    Objectif
    Voyager dans les versions d’un texte avec git : log, diff, restore, add, commit, init.
    Avant
    « La Racine » (L’Effaceur) (ou une ouverture directe).
    Commandes découvertes
    git
    Durée indicative
    25 min

Les Archives

Sauver le fonds d’une bibliothèque sur une petite clé, puis retrouver la bonne version d’un manuscrit : du, df, find, tar, restic.

2 chapitres, environ 1 h 05. S'ouvre dans le jeu après « La Racine » (L’Effaceur), sauf en ouverture directe : 

<quetes-de-sysadmin histoire="archives"></quetes-de-sysadmin>

  1. Chapitre 1 : Les Archives

    Objectif
    Mesurer, trier et empaqueter un fonds pour le sauver sur une clé : du, df, find, tar.
    Avant
    « La Racine » (L’Effaceur) (ou une ouverture directe).
    Commandes découvertes
    find
    Durée indicative
    30 min

  2. Chapitre 2 : Les versions

    Objectif
    Une sauvegarde qui garde l'erreur : retrouver la bonne version avec restic, puis faire de la place sans la perdre.
    Avant
    « Les Archives »
    Commandes découvertes
    restic
    Durée indicative
    35 min

Les Lettres du quartier

Un serveur tout neuf, déjà attaqué : durcir SSH, le pare-feu, fail2ban ; puis héberger deux sites, le DNS, et tenir le soir du concert, déplacer SSH sans s’enfermer dehors, et chasser les récidivistes.

8 chapitres, environ 3 h 50. S'ouvre dans le jeu après « La nuit du redémarrage » (Le Datacenter) et « Le Paquet perdu » (Le Paquet perdu), sauf en ouverture directe : 

<quetes-de-sysadmin histoire="lettres"></quetes-de-sysadmin>

  1. Chapitre 1 : Fermer la porte

    Objectif
    Durcir SSH : sshd_config, sshd -t, reload, et ne pas s'enfermer dehors.
    Avant
    « La nuit du redémarrage » (Le Datacenter) et « Le Paquet perdu » (Le Paquet perdu) (ou une ouverture directe).
    Commandes découvertes
    sshd
    Durée indicative
    25 min

  2. Chapitre 2 : Le pare-feu

    Objectif
    Qui écoute, et qui peut entrer : ss, ufw, et toujours ne pas s'enfermer dehors.
    Avant
    « Fermer la porte »
    Commandes découvertes
    ss, ufw
    Durée indicative
    30 min

  3. Chapitre 3 : La sentinelle

    Objectif
    Bannir les robots sans bannir les amis : fail2ban, jail.local, ignoreip.
    Avant
    « Le pare-feu »
    Commandes découvertes
    fail2ban-client
    Durée indicative
    30 min

  4. Chapitre 4 : La colocation

    Objectif
    Deux sites et une appli sur un seul serveur : hôtes virtuels, ln -s, reverse proxy avec nginx.
    Avant
    « La sentinelle »
    Commandes découvertes
    ln
    Durée indicative
    35 min

  5. Chapitre 5 : Ça marche chez moi

    Objectif
    Le site du café ne marche que chez Kofi : DNS, zone BIND, numéro de série, TTL.
    Avant
    « La colocation »
    Commandes découvertes
    host, named-checkzone, named-checkconf, rndc
    Durée indicative
    25 min

  6. Chapitre 6 : Le soir du concert

    Objectif
    L'agenda s'écroule le soir du concert : lire les journaux avec awk, limiter le débit avec nginx (limit_req).
    Avant
    « Ça marche chez moi »
    Commandes découvertes
    awk
    Durée indicative
    25 min

  7. Chapitre 7 : Le port

    Objectif
    Les robots saturent le journal de SSH : le déplacer sur le port 2222, sans s'enfermer dehors, et sans oublier fail2ban.
    Avant
    « Le soir du concert »
    Commandes découvertes
    nft
    Durée indicative
    30 min

  8. Chapitre 8 : La récidive

    Objectif
    Les mêmes robots reviennent chaque heure, et celui de l'agenda insiste : activer les prisons recidive et nginx-limit-req de fail2ban.
    Avant
    « Le port »
    Commandes découvertes
    Aucune nouvelle : on réutilise ce qu'on connaît.
    Durée indicative
    30 min

La Fabrique

Le fablab du quartier passe aux conteneurs : docker, volumes, docker compose, le pare-feu que Docker contourne, et des conteneurs qui ne tournent plus en root.

4 chapitres, environ 2 h 05. S'ouvre dans le jeu après « La nuit du redémarrage » (Le Datacenter), sauf en ouverture directe : 

<quetes-de-sysadmin histoire="fabrique"></quetes-de-sysadmin>

  1. Chapitre 1 : La mise à jour

    Objectif
    Mettre à jour une appli dans Docker sans perdre ses données : couche du conteneur, docker cp, volumes, --restart.
    Avant
    « La nuit du redémarrage » (Le Datacenter) (ou une ouverture directe).
    Commandes découvertes
    docker
    Durée indicative
    30 min

  2. Chapitre 2 : La composition

    Objectif
    Une appli et sa base avec Docker Compose : le nom des services, les volumes, les secrets dans .env, le redémarrage.
    Avant
    « La mise à jour »
    Commandes découvertes
    Aucune nouvelle : on réutilise ce qu'on connaît.
    Durée indicative
    35 min

  3. Chapitre 3 : Le trou dans le pare-feu

    Objectif
    La base du fablab ouverte au monde malgré ufw : les ports publiés par Docker, puis faire de la place sans jeter ce qui compte.
    Avant
    « La composition »
    Commandes découvertes
    nc
    Durée indicative
    30 min

  4. Chapitre 4 : Les pleins pouvoirs

    Objectif
    La galerie photo du fablab tourne en root : --user, l'uid partagé entre le conteneur et la machine, et le dossier à donner au bon compte.
    Avant
    « Le trou dans le pare-feu »
    Commandes découvertes
    Aucune nouvelle : on réutilise ce qu'on connaît.
    Durée indicative
    30 min

La Gazette

Le journal en ligne du quartier apprend à déployer : git push, crochets, et revenir en arrière quand ça casse.

5 chapitres, environ 2 h 35. S'ouvre dans le jeu après « La Machine à remonter le temps » (La Machine à remonter le temps) et « La nuit du redémarrage » (Le Datacenter), sauf en ouverture directe : 

<quetes-de-sysadmin histoire="gazette"></quetes-de-sysadmin>

  1. Chapitre 1 : Le dépôt nu

    Objectif
    Publier le site du journal avec git push : un dépôt nu sur le serveur, un crochet post-receive, et plus de retouche à la main.
    Avant
    « La Machine à remonter le temps » (La Machine à remonter le temps) et « La nuit du redémarrage » (Le Datacenter) (ou une ouverture directe).
    Commandes découvertes
    diff
    Durée indicative
    35 min

  2. Chapitre 2 : Le retour arrière

    Objectif
    Une mise en ligne qui casse le site : revenir à la version d'avant en un instant, puis faire passer des tests avant chaque publication.
    Avant
    « Le dépôt nu »
    Commandes découvertes
    readlink, date, test, sh
    Durée indicative
    30 min

  3. Chapitre 3 : Bleu et vert

    Objectif
    Mettre à jour l'appli des abonnements sans coupure : la nouvelle version à côté de l'ancienne, sa santé vérifiée, puis la bascule de nginx.
    Avant
    « Le retour arrière »
    Commandes découvertes
    Aucune nouvelle : on réutilise ce qu'on connaît.
    Durée indicative
    30 min

  4. Chapitre 4 : Le canari

    Objectif
    Une version qui passe ses vérifications de santé mais plante sur une page : un canari (une visite sur dix), les journaux, et la bascule seulement quand tout est propre.
    Avant
    « Bleu et vert »
    Commandes découvertes
    Aucune nouvelle : on réutilise ce qu'on connaît.
    Durée indicative
    30 min

  5. Chapitre 5 : La migration

    Objectif
    La nouvelle version a migré la base : l'ancienne ne sait plus la lire. Quand le retour arrière est impossible, on répare en avant.
    Avant
    « Le canari »
    Commandes découvertes
    Aucune nouvelle : on réutilise ce qu'on connaît.
    Durée indicative
    30 min

La Ludothèque

Le serveur de la ludothèque du quartier : un rançongiciel, des sauvegardes qui tiennent le coup, et une base de données à sauver proprement.

3 chapitres, environ 1 h 30. S'ouvre dans le jeu après « Les versions » (Les Archives), sauf en ouverture directe : 

<quetes-de-sysadmin histoire="ludotheque"></quetes-de-sysadmin>

  1. Chapitre 1 : La rançon

    Objectif
    Lundi matin, tous les fichiers de la ludothèque sont chiffrés : arrêter l'attaque, comprendre pourquoi la copie du NAS ne sert à rien, et restaurer depuis le disque hors ligne.
    Avant
    « Les versions » (Les Archives) (ou une ouverture directe).
    Commandes découvertes
    lsblk, mount, umount
    Durée indicative
    30 min

  2. Chapitre 2 : Les instantanés

    Objectif
    Pouvoir revenir à n'importe quel jour des deux dernières semaines : rsnapshot, ses tabulations, ses liens physiques, et cron.
    Avant
    « La rançon »
    Commandes découvertes
    rsnapshot
    Durée indicative
    30 min

  3. Chapitre 3 : La base

    Objectif
    Copier les fichiers d'une base qui tourne n'est pas une sauvegarde : pg_dump chaque nuit, une restauration de test, puis une table à remettre d'urgence.
    Avant
    « Les instantanés »
    Commandes découvertes
    psql, pg_dump, pg_restore, createdb, dropdb
    Durée indicative
    30 min

L'Astreinte

Des nuits d'astreinte pour Radio Quartier : disque plein, mémoire, inodes, horloge… puis la supervision qui prévient avant que ça casse, et le disque qui sature chaque après-midi.

7 chapitres, environ 3 h 30. S'ouvre dans le jeu après « La nuit du redémarrage » (Le Datacenter), sauf en ouverture directe : 

<quetes-de-sysadmin histoire="astreinte"></quetes-de-sysadmin>

  1. Chapitre 1 : Le disque plein

    Objectif
    2 h 47, le disque du serveur de la radio est plein : trouver le coupable, comprendre pourquoi rm ne rend rien, et confier les journaux à logrotate.
    Avant
    « La nuit du redémarrage » (Le Datacenter) (ou une ouverture directe).
    Commandes découvertes
    lsof, truncate, logrotate
    Durée indicative
    30 min

  2. Chapitre 2 : La mémoire

    Objectif
    4 h 31, le direct ne diffuse plus que du silence : qui a tué la playlist de la nuit, et comment l'empêcher de tout emporter la prochaine fois ?
    Avant
    « Le disque plein »
    Commandes découvertes
    free, top, dmesg
    Durée indicative
    45 min

  3. Chapitre 3 : Les inodes

    Objectif
    3 h 20, « No space left on device »… sur un disque presque vide. Qu'est-ce qui manque, si ce n'est pas la place ?
    Avant
    « La mémoire »
    Commandes découvertes
    Aucune nouvelle : on réutilise ce qu'on connaît.
    Durée indicative
    30 min

  4. Chapitre 4 : L'horloge

    Objectif
    Lundi, 9 h 12 : la matinale ne s'est enregistrée qu'à partir de 8 h 09. Le serveur, migré ce week-end, a-t-il perdu la notion du temps ?
    Avant
    « Les inodes »
    Commandes découvertes
    timedatectl
    Durée indicative
    35 min

  5. Chapitre 5 : La sonde

    Objectif
    Quatre nuits à réparer après coup : cette fois, Zoé veut être prévenue avant que ça casse. Et cette nuit, elle organise un exercice…
    Avant
    « L'horloge »
    Commandes découvertes
    mail, check_disk, check_http, check_procs, systemd-analyze
    Durée indicative
    20 min

  6. Chapitre 6 : Le post-mortem

    Objectif
    Dimanche nuit, Théo était d'astreinte et le direct a coupé : écrire ce qui s'est passé, avec les faits des journaux et sans chercher de coupable.
    Avant
    « La sonde »
    Commandes découvertes
    last
    Durée indicative
    20 min

  7. Chapitre 7 : Le goulot

    Objectif
    Chaque après-midi à 16 h, le direct hoquette : trouver ce qui sature le disque, et le limiter sans l'arrêter.
    Avant
    « Le post-mortem »
    Commandes découvertes
    iostat, pidstat, ionice
    Durée indicative
    30 min

La Maison des associations

Une passerelle et un réseau interne derrière elle : ses propres clés SSH, ssh -J, les tunnels, scp et rsync entre machines.

5 chapitres, environ 2 h. S'ouvre dans le jeu après « Fermer la porte » (Les Lettres du quartier), sauf en ouverture directe : 

<quetes-de-sysadmin histoire="maison"></quetes-de-sysadmin>

  1. Chapitre 1 : Les clés

    Objectif
    Ton compte a un mot de passe provisoire (lilas-2027) : ssh-keygen, ssh-copy-id, puis plus de mots de passe du tout.
    Avant
    « Fermer la porte » (Les Lettres du quartier) (ou une ouverture directe).
    Commandes découvertes
    Aucune nouvelle : on réutilise ce qu'on connaît.
    Durée indicative
    30 min

  2. Chapitre 2 : Le rebond

    Objectif
    Le wiki n'est joignable que par la passerelle : ssh -J, puis un raccourci ProxyJump dans ~/.ssh/config.
    Avant
    « Les clés »
    Commandes découvertes
    hostname, ssh
    Durée indicative
    20 min

  3. Chapitre 3 : Le tunnel

    Objectif
    L'administration du wiki n'écoute que sur 127.0.0.1 : un tunnel ssh -L, curl, puis refermer le tunnel.
    Avant
    « Le rebond »
    Commandes découvertes
    Aucune nouvelle : on réutilise ce qu'on connaît.
    Durée indicative
    20 min

  4. Chapitre 4 : Les transferts

    Objectif
    Rapatrier un fichier du wiki sur ton poste (scp), puis mettre la sauvegarde à jour sur archives (rsync).
    Avant
    « Le tunnel »
    Commandes découvertes
    scp
    Durée indicative
    20 min

  5. Chapitre 5 : L'hébergeur

    Objectif
    Le nouveau site est prêt sur le wiki : le rapatrier par sftp, puis le publier chez l'hébergeur, qui n'accepte plus le FTP en clair. FTPS, le bon nom de serveur, et rien de vieux qui traîne.
    Avant
    « Les transferts »
    Commandes découvertes
    sftp, lftp
    Durée indicative
    30 min

La Coopérative

L'épicerie coopérative du quartier : les comptes de celles et ceux qui arrivent et qui partent, les droits partagés, sudo bien réglé, le site de la caisse et ses mises à jour, à la main puis automatiques.

6 chapitres, environ 2 h 50. S'ouvre dans le jeu après « La colocation » (Les Lettres du quartier) et « Deuxième jour » (Le Datacenter), sauf en ouverture directe : 

<quetes-de-sysadmin histoire="cooperative"></quetes-de-sysadmin>

  1. Chapitre 1 : Le départ

    Objectif
    Marc s'en va : fermer son compte (vraiment), retirer sa clé partout, son sudo, sa session, et garder la sauvegarde qu'il faisait tourner.
    Avant
    « La colocation » (Les Lettres du quartier) et « Deuxième jour » (Le Datacenter) (ou une ouverture directe).
    Commandes découvertes
    who, pkill, chage, gpasswd, userdel
    Durée indicative
    30 min

  2. Chapitre 2 : Les droits partagés

    Objectif
    Un dossier où l'équipe caisse peut vraiment travailler à plusieurs (setgid, umask), et le droit de relancer la caisse, rien de plus (visudo).
    Avant
    « Le départ »
    Commandes découvertes
    umask, which, visudo
    Durée indicative
    35 min

  3. Chapitre 3 : Le secret

    Objectif
    La clé de paiement traîne sur internet : trouver par où elle est sortie, fermer la fuite dans nginx, bloquer qui l'a prise, changer la clé.
    Avant
    « Les droits partagés »
    Commandes découvertes
    Aucune nouvelle : on réutilise ce qu'on connaît.
    Durée indicative
    30 min

  4. Chapitre 4 : Le proxy

    Objectif
    Un robot fait verrouiller tout le monde : derrière nginx, la caisse voit chaque client en 127.0.0.1. X-Forwarded-For, et à qui faire confiance.
    Avant
    « Le secret »
    Commandes découvertes
    Aucune nouvelle : on réutilise ce qu'on connaît.
    Durée indicative
    20 min

  5. Chapitre 5 : Les mises à jour

    Objectif
    Des mois de retard : apt upgrade sur un wifi qui coupe (tmux, dpkg --configure -a), un nouveau noyau, et un redémarrage qui révèle un service oublié.
    Avant
    « Le proxy »
    Commandes découvertes
    dpkg, uname, tmux
    Durée indicative
    25 min

  6. Chapitre 6 : Les mises à jour automatiques

    Objectif
    De nouvelles mises à jour de sécurité, déjà : activer unattended-upgrades, recevoir le rapport, redémarrer la nuit, et laisser nodejs tranquille.
    Avant
    « Les mises à jour »
    Commandes découvertes
    apt-config, unattended-upgrade
    Durée indicative
    30 min

La Ruche

Le réseau d'un tiers-lieu : des VLAN pour séparer bureaux, invité·es et équipements, le DHCP, le NAT et un pare-feu entre les zones, un VPN, une DMZ pour le site, un second site, un annuaire et un Wi-Fi d'entreprise.

8 chapitres, environ 4 h. S'ouvre dans le jeu après « Le pare-feu » (Les Lettres du quartier) et « Le rebond » (La Maison des associations), sauf en ouverture directe : 

<quetes-de-sysadmin histoire="ruche"></quetes-de-sysadmin>

  1. Chapitre 1 : Les VLAN

    Objectif
    Le commutateur a été découpé en trois VLAN ; le routeur, lui, parle encore à plat. Des interfaces 802.1Q, et qu'elles tiennent au redémarrage.
    Avant
    « Le pare-feu » (Les Lettres du quartier) et « Le rebond » (La Maison des associations) (ou une ouverture directe).
    Commandes découvertes
    ip, ifup, ifdown
    Durée indicative
    20 min

  2. Chapitre 2 : Le DHCP

    Objectif
    Les VLAN sont là, mais personne n'a d'adresse : une plage DHCP par VLAN avec dnsmasq, une réservation pour l'imprimante, et pas un mot vers la box.
    Avant
    « Les VLAN »
    Commandes découvertes
    dnsmasq
    Durée indicative
    20 min

  3. Chapitre 3 : Les zones

    Objectif
    Rien ne sort sur internet, et tout le monde voit tout : le routage, la traduction d'adresses (NAT) et un pare-feu entre les VLAN, avec nftables, et qui tiennent au redémarrage.
    Avant
    « Le DHCP »
    Commandes découvertes
    sysctl, conntrack
    Durée indicative
    30 min

  4. Chapitre 4 : Le télétravail

    Objectif
    Malik veut ouvrir le NAS depuis chez lui : pas en ouvrant un port sur internet, mais avec un VPN WireGuard, des clés bien gardées et un pare-feu qui le laisse entrer.
    Avant
    « Les zones »
    Commandes découvertes
    wg, wg-quick
    Durée indicative
    30 min

  5. Chapitre 5 : La DMZ

    Objectif
    Le site de réservation des salles est hébergé sur place : un VLAN à part (la DMZ), une traduction de destination pour le rendre visible d'internet, et un serveur qui ne voit rien du reste.
    Avant
    « Le télétravail »
    Commandes découvertes
    Aucune nouvelle : on réutilise ce qu'on connaît.
    Durée indicative
    30 min

  6. Chapitre 6 : L'Annexe

    Objectif
    La Ruche ouvre un second lieu : relier ses deux réseaux par le VPN, avec des AllowedIPs qui servent de table de routage, et un passage gardé ouvert dans la box de l'Annexe.
    Avant
    « La DMZ »
    Commandes découvertes
    Aucune nouvelle : on réutilise ce qu'on connaît.
    Durée indicative
    40 min

  7. Chapitre 7 : L'annuaire

    Objectif
    Les comptes de l'équipe sont dans un annuaire LDAP : retirer une personne partie (vraiment), ajouter Sami avec un LDIF, un mot de passe chiffré et le bon groupe.
    Avant
    « L'Annexe »
    Commandes découvertes
    ldapsearch, ldapadd, ldapmodify, ldapdelete, ldappasswd, ldapwhoami, slappasswd, slapcat
    Durée indicative
    30 min

  8. Chapitre 8 : Le Wi-Fi des bureaux

    Objectif
    Fini le mot de passe Wi-Fi commun : chacun se connecte avec son compte de l'annuaire, et le serveur RADIUS place chaque personne dans son VLAN.
    Avant
    « L'annuaire »
    Commandes découvertes
    freeradius, radtest
    Durée indicative
    40 min

L'Audit

L'assureur de la boulangerie veut un audit : lire la lettre de mission et faire l'inventaire avec nmap sans sortir du périmètre, corriger les constats d'une auditrice (SSH, comptes, sudo, secrets), fermer ce qui est exposé sur le réseau, remonter la trace d'une connexion inattendue, puis prouver avec nmap et Lynis que tout tient.

5 chapitres, environ 3 h 15. S'ouvre dans le jeu après « La sentinelle » (Les Lettres du quartier) et « Les droits partagés » (La Coopérative), sauf en ouverture directe : 

<quetes-de-sysadmin histoire="audit"></quetes-de-sysadmin>

  1. Chapitre 1 : Le périmètre

    Objectif
    Avant de balayer : lire la lettre de mission, faire l'inventaire avec nmap, et ne pas toucher à ce qui n'est pas dans le périmètre.
    Avant
    « La sentinelle » (Les Lettres du quartier) et « Les droits partagés » (La Coopérative) (ou une ouverture directe).
    Commandes découvertes
    nmap
    Durée indicative
    25 min

  2. Chapitre 2 : Le rapport

    Objectif
    Corriger les constats d'un audit : SSH, un compte oublié, sudo sans mot de passe, un secret lisible par tous.
    Avant
    « Le périmètre »
    Commandes découvertes
    Aucune nouvelle : on réutilise ce qu'on connaît.
    Durée indicative
    40 min

  3. Chapitre 3 : L'exposition

    Objectif
    Fermer ce qu'un balayage de ports trouve ouvert : ufw, et faire écouter Redis seulement en local.
    Avant
    « Le rapport »
    Commandes découvertes
    Aucune nouvelle : on réutilise ce qu'on connaît.
    Durée indicative
    35 min

  4. Chapitre 4 : Les traces

    Objectif
    Remonter la trace d'une connexion inattendue : journal, last, empreinte d'une clé, clé et tâche cron de l'intrus.
    Avant
    « L'exposition »
    Commandes découvertes
    ssh-keygen
    Durée indicative
    50 min

  5. Chapitre 5 : La contre-visite

    Objectif
    Prouver que les correctifs tiennent : nouveau balayage, audit Lynis, durcissement raisonné, et le rapport de clôture.
    Avant
    « Les traces »
    Commandes découvertes
    lynis
    Durée indicative
    45 min

Le Labo

Le serveur du club photo : un disque qui fatigue, ce que SMART dit vraiment, le RAID logiciel, remplacer un disque sans rien perdre ni se tromper de disque, agrandir la place avec LVM, puis sortir du mode secours.

4 chapitres, environ 2 h 40. S'ouvre dans le jeu après « Le disque plein » (L'Astreinte), sauf en ouverture directe : 

<quetes-de-sysadmin histoire="labo"></quetes-de-sysadmin>

  1. Chapitre 1 : Le disque qui fatigue

    Objectif
    smartd s'inquiète d'un disque : lire ce que SMART dit vraiment, comprendre le RAID du serveur, sortir le disque malade de ses grappes et demander son remplacement par son numéro de série.
    Avant
    « Le disque plein » (L'Astreinte) (ou une ouverture directe).
    Commandes découvertes
    smartctl, mdadm
    Durée indicative
    40 min

  2. Chapitre 2 : Le disque neuf

    Objectif
    Le disque neuf est arrivé, vierge : le découper comme l'autre sans se tromper de sens, reconstruire les deux grappes RAID, et rendre le serveur capable de démarrer sur chacun des disques.
    Avant
    « Le disque qui fatigue »
    Commandes découvertes
    sfdisk, grub-install
    Durée indicative
    35 min

  3. Chapitre 3 : La place qui manque

    Objectif
    Le disque des photos est plein et le concours d'hiver arrive : faire une grappe RAID des deux disques neufs, la donner à LVM, agrandir le volume et son système de fichiers, et que le démarrage s'en souvienne.
    Avant
    « Le disque neuf »
    Commandes découvertes
    pvs, vgs, lvs, pvcreate, vgextend, vgreduce, pvmove, pvremove, lvextend, resize2fs, update-initramfs
    Durée indicative
    40 min

  4. Chapitre 4 : Le redémarrage qui coince

    Objectif
    Le serveur ne redémarre plus : il attend un disque qui a changé de nom. Comprendre le mode secours, désigner le disque par son UUID, vérifier fstab avant de reprendre le démarrage.
    Avant
    « La place qui manque »
    Commandes découvertes
    blkid, findmnt
    Durée indicative
    45 min

La Veille

Six mois après l'audit, la boulangerie a migré sur un nouveau serveur : prendre l'habitude de la veille de sécurité, trier un bulletin de CVE, corriger ce qui compte, prouver que ça tient, puis automatiser ce qui peut l'être.

5 chapitres, environ 1 h 45. S'ouvre dans le jeu après « La contre-visite » (L'Audit), sauf en ouverture directe : 

<quetes-de-sysadmin histoire="veille"></quetes-de-sysadmin>

  1. Chapitre 1 : Le bulletin

    Objectif
    Trier un bulletin de CVE : ce qui concerne vraiment ce serveur, et ce qui n'est qu'une fausse alerte.
    Avant
    « La contre-visite » (L'Audit) (ou une ouverture directe).
    Commandes découvertes
    Aucune nouvelle : on réutilise ce qu'on connaît.
    Durée indicative
    20 min

  2. Chapitre 2 : La priorité

    Objectif
    Décider quoi corriger en premier : l'exposition compte autant que le score CVSS.
    Avant
    « Le bulletin »
    Commandes découvertes
    Aucune nouvelle : on réutilise ce qu'on connaît.
    Durée indicative
    20 min

  3. Chapitre 3 : Le correctif

    Objectif
    Corriger nginx et rsync sans rien casser : apt update avant apt upgrade, puis vérifier que le site répond toujours.
    Avant
    « La priorité »
    Commandes découvertes
    Aucune nouvelle : on réutilise ce qu'on connaît.
    Durée indicative
    20 min

  4. Chapitre 4 : Sans preuve, pas de certitude

    Objectif
    Reprouver que les correctifs tiennent, et chercher si la faille avait déjà été tentée.
    Avant
    « Le correctif »
    Commandes découvertes
    Aucune nouvelle : on réutilise ce qu'on connaît.
    Durée indicative
    20 min

  5. Chapitre 5 : Mettre en veille

    Objectif
    Automatiser ce qui peut l'être (mises à jour de sécurité, un rendez-vous hebdomadaire), sans remplacer la décision humaine.
    Avant
    « Sans preuve, pas de certitude »
    Commandes découvertes
    Aucune nouvelle : on réutilise ce qu'on connaît.
    Durée indicative
    25 min