Ptdradmin: Created page with "= Installation et configuration d'Anubis avec Nginx = == Vue d'ensemble == Anubis est un Web AI Firewall qui protège vos applications web contre les bots malveillants. Ce guide détaille l'installation complète d'Anubis en frontal de Nginx avec communication par socket UNIX. === Architecture ===

 Client → Nginx (HTTPS) → Anubis (socket UNIX) → Application backend

=== Prérequis === * Système Linux (RHEL 10, Debian, Ubuntu ou similaire) * Accès..."

2025-12-18T10:53:44Z

Created page with "= Installation et configuration d'Anubis avec Nginx = == Vue d'ensemble == Anubis est un Web AI Firewall qui protège vos applications web contre les bots malveillants. Ce guide détaille l'installation complète d'Anubis en frontal de Nginx avec communication par socket UNIX. === Architecture === <pre> Client → Nginx (HTTPS) → Anubis (socket UNIX) → Application backend </pre> === Prérequis === * Système Linux (RHEL 10, Debian, Ubuntu ou similaire) * Accès..."

New page

= Installation et configuration d'Anubis avec Nginx =

== Vue d'ensemble ==

Anubis est un Web AI Firewall qui protège vos applications web contre les bots malveillants. Ce guide détaille l'installation complète d'Anubis en frontal de Nginx avec communication par socket UNIX.

=== Architecture ===

<pre>
Client → Nginx (HTTPS) → Anubis (socket UNIX) → Application backend
</pre>

=== Prérequis ===

* Système Linux (RHEL 10, Debian, Ubuntu ou similaire)
* Accès root/sudo
* Nginx installé et configuré
* Application backend fonctionnelle (ex: sur port 8080)
* Certificats SSL/TLS (optionnel mais recommandé)

== Installation d'Anubis ==

=== Méthode 1 : Compilation depuis les sources (RHEL/CentOS) ===

==== Étape 1 : Installer les dépendances ====

<syntaxhighlight lang="bash">
sudo dnf install -y git golang nodejs npm
</syntaxhighlight>

==== Étape 2 : Installer esbuild globalement ====

<syntaxhighlight lang="bash">
sudo npm install -g esbuild
</syntaxhighlight>

Vérifier les versions installées :

<syntaxhighlight lang="bash">
go version # go1.25.3 ou supérieur
node --version # v22.16.0 ou supérieur
npm --version # 10.9.2 ou supérieur
esbuild --version # 0.27.2 ou supérieur
</syntaxhighlight>

==== Étape 3 : Cloner le dépôt Anubis ====

<syntaxhighlight lang="bash">
cd /opt
sudo git clone https://github.com/TecharoHQ/anubis.git
</syntaxhighlight>

==== Étape 4 : Corriger les permissions ====

Note| Le clonage avec sudo crée des fichiers appartenant à root. Il faut corriger cela :

<syntaxhighlight lang="bash">
sudo chown -R $USER:$USER /opt/anubis
</syntaxhighlight>

==== Étape 5 : Installer les dépendances npm ====

<syntaxhighlight lang="bash">
cd /opt/anubis
sudo npm install
</syntaxhighlight>

==== Étape 6 : Générer le code et compiler ====

<syntaxhighlight lang="bash">
cd /opt/anubis
rm -rf bin var # Nettoyer les anciens builds
go mod download # Télécharger les dépendances Go
go generate ./... # Générer le code
go build -o var/anubis cmd/anubis/main.go # Compiler
</syntaxhighlight>

Warning| Ces commandes doivent être exécutées '''sans sudo''' pour éviter les problèmes de permissions.

Vérifier que le binaire a été créé :

<syntaxhighlight lang="bash">
ls -l var/anubis
# Devrait afficher : -rwxr-xr-x. 1 user user 52659096 Dec 17 14:46 var/anubis
</syntaxhighlight>

==== Étape 7 : Installer le binaire ====

<syntaxhighlight lang="bash">
sudo cp var/anubis /usr/bin/anubis
sudo chmod 755 /usr/bin/anubis
</syntaxhighlight>

Vérifier l'installation :

<syntaxhighlight lang="bash">
/usr/bin/anubis --version
# Devrait afficher : Anubis devel
</syntaxhighlight>

=== Méthode 2 : Installation via paquet .deb (Debian/Ubuntu) ===

<syntaxhighlight lang="bash">
sudo apt update
curl -OL https://github.com/TecharoHQ/anubis/releases/download/v1.19.1/anubis_1.19.1_linux_amd64.deb
sudo apt install ./anubis_1.19.1_linux_amd64.deb
</syntaxhighlight>

== Configuration d'Anubis ==

=== Étape 1 : Créer le répertoire de configuration ===

<syntaxhighlight lang="bash">
sudo mkdir -p /etc/anubis
sudo mkdir -p /run/anubis
</syntaxhighlight>

=== Étape 2 : Créer le fichier de configuration principal ===

Créer <code>/etc/anubis/site.env</code> :

<syntaxhighlight lang="bash">
sudo tee /etc/anubis/site.env <<EOF
# Écoute sur socket UNIX
ANUBIS_LISTEN_ADDR=/run/anubis/site.sock
BIND_NETWORK=unix
SOCKET_MODE=0666

# Backend cible (votre application)
ANUBIS_BACKEND=http://127.0.0.1:8080
TARGET=http://127.0.0.1:8080

# Domaine du site
ANUBIS_SITE_DOMAIN=example.com

# Mode de fonctionnement
ANUBIS_MODE=proxy

# Fichier de politiques
POLICY_FNAME=/etc/anubis/site.botPolicies.yaml

# Niveau de difficulté du challenge (1-5)
DIFFICULTY=3

# Logging
LOG_LEVEL=info

# Workers
WORKERS=2

# Servir robots.txt
SERVE_ROBOTS_TXT=true
EOF
</syntaxhighlight>

=== Étape 3 : Créer le fichier de politiques anti-bots ===

Créer <code>/etc/anubis/site.botPolicies.yaml</code> :

<syntaxhighlight lang="bash">
sudo tee /etc/anubis/site.botPolicies.yaml <<EOF
version: 1
policies:
- name: default
rules:
- type: allow
bot: human
- type: challenge
bot: unknown
difficulty: 3
- type: block
bot: malicious
EOF
</syntaxhighlight>

=== Étape 4 : Définir les permissions ===

<syntaxhighlight lang="bash">
sudo chmod 644 /etc/anubis/site.env
sudo chmod 644 /etc/anubis/site.botPolicies.yaml
sudo chown -R root:root /etc/anubis
</syntaxhighlight>

== Configuration du service Systemd ==

=== Créer le fichier de service ===

Pour une '''instance unique''', créer <code>/etc/systemd/system/anubis.service</code> :

<syntaxhighlight lang="bash">
sudo tee /etc/systemd/system/anubis.service <<EOF
[Unit]
Description=Anubis Web AI Firewall
After=network.target

[Service]
Type=simple
User=root
Group=root
WorkingDirectory=/opt/anubis
ExecStart=/usr/bin/anubis
Restart=always
RestartSec=5
EnvironmentFile=/etc/anubis/site.env

[Install]
WantedBy=multi-user.target
EOF
</syntaxhighlight>

Pour des '''instances multiples''' (plusieurs sites), créer <code>/etc/systemd/system/anubis@.service</code> :

<syntaxhighlight lang="bash">
sudo tee /etc/systemd/system/anubis@.service <<EOF
[Unit]
Description=Anubis Web AI Firewall - Instance %i
After=network.target

[Service]
Type=simple
User=root
Group=root
EnvironmentFile=/etc/anubis/%i.env
ExecStart=/usr/bin/anubis
Restart=on-failure
RestartSec=5

[Install]
WantedBy=multi-user.target
EOF
</syntaxhighlight>

=== Activer et démarrer le service ===

<syntaxhighlight lang="bash">
sudo systemctl daemon-reload
sudo systemctl enable anubis
sudo systemctl start anubis
</syntaxhighlight>

Pour les instances multiples :

<syntaxhighlight lang="bash">
sudo systemctl enable anubis@site
sudo systemctl start anubis@site
</syntaxhighlight>

=== Vérifier le statut du service ===

<syntaxhighlight lang="bash">
sudo systemctl status anubis
</syntaxhighlight>

Le service devrait afficher :

<pre>
● anubis.service - Anubis Web AI Firewall
Loaded: loaded
Active: active (running)
</pre>

=== Vérifier les logs ===

<syntaxhighlight lang="bash">
sudo journalctl -u anubis -f
</syntaxhighlight>

=== Vérifier la création du socket ===

<syntaxhighlight lang="bash">
ls -l /run/anubis/site.sock
# Devrait afficher : srwxrw-rw- 1 root root 0 Dec 17 14:46 /run/anubis/site.sock
</syntaxhighlight>

=== Tester Anubis directement ===

<syntaxhighlight lang="bash">
curl --unix-socket /run/anubis/site.sock http://anubis/
</syntaxhighlight>

== Configuration de Nginx ==

=== Étape 1 : Créer l'upstream Anubis ===

Créer <code>/etc/nginx/conf.d/anubis-upstream.conf</code> :

<syntaxhighlight lang="bash">
sudo tee /etc/nginx/conf.d/anubis-upstream.conf <<EOF
upstream anubis_backend {
server unix:/run/anubis/site.sock;
keepalive 32;
}
EOF
</syntaxhighlight>

=== Étape 2 : Configurer le virtual host ===

Créer <code>/etc/nginx/sites-available/example.conf</code> (ou <code>/etc/nginx/conf.d/example.conf</code> sur RHEL) :

<syntaxhighlight lang="nginx">
# Redirection HTTP vers HTTPS
server {
listen 80;
listen [::]:80;
server_name example.com www.example.com;

# Redirection permanente vers HTTPS
return 301 https://$host$request_uri;
}

# Configuration HTTPS avec Anubis
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
server_name example.com www.example.com;

# Certificats SSL/TLS
ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;

# Paramètres SSL recommandés
ssl_session_timeout 10m;
ssl_session_cache shared:SSL:10m;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers off;
ssl_ciphers HIGH:!aNULL:!MD5;

# Headers de sécurité
add_header X-Frame-Options DENY;
add_header X-Content-Type-Options nosniff;
add_header X-XSS-Protection "1; mode=block";
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

# Timeouts adaptés à Anubis
proxy_read_timeout 180s;
proxy_send_timeout 180s;
proxy_connect_timeout 10s;

# Taille maximale des uploads
client_max_body_size 10M;

# Proxy vers Anubis
location / {
proxy_http_version 1.1;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
proxy_set_header Connection "";

proxy_pass http://anubis_backend;
}
}
</syntaxhighlight>

=== Étape 3 : Activer le site (Debian/Ubuntu) ===

<syntaxhighlight lang="bash">
sudo ln -s /etc/nginx/sites-available/example.conf /etc/nginx/sites-enabled/
</syntaxhighlight>

Note|Sur RHEL/CentOS, le fichier dans <code>/etc/nginx/conf.d/</code> est automatiquement actif.

=== Étape 4 : Tester et recharger Nginx ===

<syntaxhighlight lang="bash">
# Tester la configuration
sudo nginx -t

# Si OK, recharger Nginx
sudo systemctl reload nginx
</syntaxhighlight>

== Vérification du déploiement ==

=== 1. Vérifier qu'Anubis fonctionne ===

<syntaxhighlight lang="bash">
sudo systemctl status anubis
sudo journalctl -u anubis -n 50
</syntaxhighlight>

=== 2. Vérifier le socket UNIX ===

<syntaxhighlight lang="bash">
ls -l /run/anubis/site.sock
sudo ss -xlp | grep anubis
</syntaxhighlight>

=== 3. Vérifier Nginx ===

<syntaxhighlight lang="bash">
sudo systemctl status nginx
sudo nginx -t
</syntaxhighlight>

=== 4. Test d'accès via navigateur ===

Ouvrir <code>https://example.com</code> dans un navigateur. Vous devriez :

# Voir le challenge Anubis si c'est la première visite
# Être redirigé vers votre application après validation
# Voir le header <code>X-Anubis-Status</code> dans les réponses HTTP

=== 5. Test avec curl ===

<syntaxhighlight lang="bash">
# Test complet de la chaîne
curl -I https://example.com

# Devrait retourner un code 200 ou le challenge Anubis
</syntaxhighlight>

=== 6. Vérifier les logs en temps réel ===

<syntaxhighlight lang="bash">
# Logs Anubis
sudo journalctl -u anubis -f

# Logs Nginx
sudo tail -f /var/log/nginx/access.log
sudo tail -f /var/log/nginx/error.log
</syntaxhighlight>

== Flux des requêtes ==

<pre>
1. Client HTTPS → Nginx (port 443)
2. Nginx → Anubis (socket UNIX)
3. Anubis analyse la requête :
- Fingerprint du client
- Headers HTTP
- Comportement
4. Anubis décide :
- Challenge JS → Client doit résoudre
- Allow → Passe au backend
- Block → Requête bloquée
5. Backend traite la requête légitime
6. Backend → Anubis → Nginx → Client
</pre>

== Dépannage ==

=== Le service Anubis ne démarre pas ===

<syntaxhighlight lang="bash">
# Vérifier les logs
sudo journalctl -u anubis -xe

# Vérifier la configuration
cat /etc/anubis/site.env

# Vérifier les permissions
ls -l /usr/bin/anubis
ls -ld /run/anubis
</syntaxhighlight>

=== Le socket n'est pas créé ===

<syntaxhighlight lang="bash">
# Vérifier que le répertoire existe
sudo mkdir -p /run/anubis

# Vérifier les permissions
sudo chmod 755 /run/anubis

# Redémarrer Anubis
sudo systemctl restart anubis
</syntaxhighlight>

=== Nginx ne peut pas se connecter au socket ===

<syntaxhighlight lang="bash">
# Vérifier les permissions du socket
ls -l /run/anubis/site.sock

# Ajuster SOCKET_MODE dans site.env
SOCKET_MODE=0666

# Redémarrer Anubis
sudo systemctl restart anubis
</syntaxhighlight>

=== Erreur "permission denied" lors de la compilation ===

<syntaxhighlight lang="bash">
# Corriger la propriété des fichiers
sudo chown -R $USER:$USER /opt/anubis

# Nettoyer et recompiler
cd /opt/anubis
rm -rf bin var
go generate ./...
go build -o var/anubis cmd/anubis/main.go
</syntaxhighlight>

=== Erreur "esbuild: command not found" ===

<syntaxhighlight lang="bash">
# Réinstaller esbuild
sudo npm install -g esbuild

# Vérifier l'installation
which esbuild
esbuild --version
</syntaxhighlight>

== Optimisations recommandées ==

=== 1. Cache Anubis ===

Ajouter dans <code>/etc/anubis/site.env</code> :

<syntaxhighlight lang="bash">
CACHE_SIZE=50000
CACHE_TTL=300
</syntaxhighlight>

=== 2. Rate limiting ===

<syntaxhighlight lang="bash">
RATE_LIMIT_MODE=smart
FIREWALL_MODE=strict
</syntaxhighlight>

=== 3. Nginx keepalive ===

Dans <code>anubis-upstream.conf</code> :

<syntaxhighlight lang="nginx">
upstream anubis_backend {
server unix:/run/anubis/site.sock;
keepalive 64;
keepalive_requests 1000;
keepalive_timeout 60s;
}
</syntaxhighlight>

=== 4. Logs structurés ===

<syntaxhighlight lang="bash">
LOG_LEVEL=info
LOG_FORMAT=json
</syntaxhighlight>

== Maintenance ==

=== Redémarrer Anubis ===

<syntaxhighlight lang="bash">
sudo systemctl restart anubis
</syntaxhighlight>

=== Recharger la configuration sans interruption ===

<syntaxhighlight lang="bash">
# Éditer la configuration
sudo nano /etc/anubis/site.env

# Redémarrer le service
sudo systemctl restart anubis
</syntaxhighlight>

=== Mettre à jour Anubis ===

<syntaxhighlight lang="bash">
# Arrêter le service
sudo systemctl stop anubis

# Compiler la nouvelle version
cd /opt/anubis
git pull
rm -rf bin var
go generate ./...
go build -o var/anubis cmd/anubis/main.go

# Installer le nouveau binaire
sudo cp var/anubis /usr/bin/anubis
sudo chmod 755 /usr/bin/anubis

# Redémarrer
sudo systemctl start anubis
</syntaxhighlight>

=== Sauvegarder la configuration ===

<syntaxhighlight lang="bash">
sudo tar czf anubis-config-backup-$(date +%Y%m%d).tar.gz /etc/anubis/
</syntaxhighlight>

== Sécurité ==

=== Durcissement du service ===

Éditer <code>/etc/systemd/system/anubis.service</code> et ajouter :

<syntaxhighlight lang="ini">
[Service]
NoNewPrivileges=true
PrivateTmp=true
ProtectSystem=strict
ProtectHome=true
ReadWritePaths=/run/anubis
</syntaxhighlight>

=== Firewall ===

<syntaxhighlight lang="bash">
# Bloquer l'accès direct au backend
sudo firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="0.0.0.0/0" port port="8080" protocol="tcp" reject'
sudo firewall-cmd --reload

# Ou avec iptables
sudo iptables -A INPUT -p tcp --dport 8080 -s 127.0.0.1 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 8080 -j DROP
</syntaxhighlight>

== Instances multiples ==

Pour gérer plusieurs sites avec Anubis :

=== 1. Créer des configurations séparées ===

<syntaxhighlight lang="bash">
sudo cp /etc/anubis/site.env /etc/anubis/site2.env
sudo cp /etc/anubis/site.botPolicies.yaml /etc/anubis/site2.botPolicies.yaml
</syntaxhighlight>

=== 2. Modifier les configurations ===

Éditer <code>/etc/anubis/site2.env</code> :

<syntaxhighlight lang="bash">
ANUBIS_LISTEN_ADDR=/run/anubis/site2.sock
ANUBIS_BACKEND=http://127.0.0.1:8081
ANUBIS_SITE_DOMAIN=example2.com
</syntaxhighlight>

=== 3. Démarrer l'instance ===

<syntaxhighlight lang="bash">
sudo systemctl enable anubis@site2
sudo systemctl start anubis@site2
</syntaxhighlight>

=== 4. Créer l'upstream Nginx correspondant ===

<syntaxhighlight lang="nginx">
upstream anubis_site2 {
server unix:/run/anubis/site2.sock;
}
</syntaxhighlight>

== Monitoring ==

=== Métriques Anubis ===

Anubis expose des métriques (si configuré) :

<syntaxhighlight lang="bash">
# Dans site.env
METRICS_ENABLED=true
METRICS_ADDR=127.0.0.1:9090
</syntaxhighlight>

=== Monitoring avec Prometheus ===

<syntaxhighlight lang="yaml">
scrape_configs:
- job_name: 'anubis'
static_configs:
- targets: ['localhost:9090']
</syntaxhighlight>

== Références ==

* [https://anubis.techaro.lol/docs/ Documentation officielle]
* [https://github.com/TecharoHQ/anubis Dépôt GitHub]
* [https://anubis.techaro.lol/docs/admin/configuration/ Configuration avancée]

== Résumé des commandes ==

<syntaxhighlight lang="bash">
# Installation
cd /opt
sudo git clone https://github.com/TecharoHQ/anubis.git
sudo chown -R $USER:$USER /opt/anubis
cd /opt/anubis
sudo npm install -g esbuild
go generate ./...
go build -o var/anubis cmd/anubis/main.go
sudo cp var/anubis /usr/bin/anubis

# Configuration
sudo mkdir -p /etc/anubis /run/anubis
sudo nano /etc/anubis/site.env
sudo nano /etc/anubis/site.botPolicies.yaml

# Service
sudo systemctl daemon-reload
sudo systemctl enable --now anubis
sudo systemctl status anubis

# Nginx
sudo nginx -t
sudo systemctl reload nginx

# Vérification
curl --unix-socket /run/anubis/site.sock http://anubis/
curl -I https://example.com
</syntaxhighlight>

Template:Note - Revision history