/installation/index.md

Guide d'installation

L'installeur LFSi, écran par écran — puis le mode automatisé pour vos déploiements en série.

Avant de commencer

Téléchargez l'ISO de votre architecture et vérifiez-la (sha256sum -c …). Un média altéré sera de toute façon refusé au démarrage.
Prévoyez : la liste de vos cartes réseau et leur usage prévu, le nom que vous donnerez au compte administrateur, et vos plans d'adressage par zone.
L'ISO démarre en UEFI comme en BIOS (x86-64).

L'installation interactive, écran par écran

1. Langue, clavier, fuseau horaire — réglages régionaux.

2. Détection du matériel — disques et cartes réseau sont listés.

3. Partitionnement - Guidé (recommandé) : applique le schéma durci LFSi (partitions séparées pour /tmp, /var, les journaux… avec les bonnes options de sécurité). Le chiffrement du disque (LUKS) vous est proposé — recommandé. - Manuel : pour les besoins particuliers.

4. Réseau & zones — l'écran le plus important : - a. toutes vos cartes détectées s'affichent ; - b. sélectionnez celles que vous dédiez au zonage ; - c. choisissez un mode de zonage parmi ceux proposés pour ce nombre de cartes (voir Réseau & zones). La zone admin est toujours présente ; si elle doit cohabiter avec la zone service sur la même carte, un avertissement vous demande confirmation ; - d. renseignez l'adressage de chaque zone (et les VLAN si plusieurs zones partagent une carte) ; - e. les cartes non sélectionnées restent libres : vous pourrez les affecter plus tard depuis l'interface web.

5. Comptes - Administrateur LFSi : choisissez librement le nom du compte, son mot de passe (la politique de robustesse s'applique) et, idéalement, une clé SSH. Ce compte ouvrira directement le menu d'administration à chaque connexion console. - root : définissez son mot de passe. Ce compte ne sert qu'au « brise-glace » (voir Dépannage).

6. Applications — cochez les applications à installer dès maintenant (facultatif).

7. Profil de conformité — le socle CIS L1 / STIG CAT I est appliqué ; les niveaux supérieurs s'activeront plus tard depuis l'interface.

8. Récapitulatif — relisez, puis confirmez : c'est à ce moment seulement que le disque est écrit.

9–11. Installation, premier démarrage — déploiement du système, durcissement, génération des clés de la machine, initialisation de la surveillance d'intégrité, rapport de conformité initial, puis redémarrage.

L'installation automatisée (fichier de réponses)

Pour déployer plusieurs machines à l'identique, l'installeur accepte un fichier de réponses (au démarrage : entrée de menu Installer (automatique), fichier fourni sur le média, une clé USB ou le réseau).

Extrait commenté :

[locale]
language = "fr_FR.UTF-8"
keymap   = "fr"
timezone = "Europe/Paris"

[disk]
target     = "/dev/sda"
scheme     = "guided-hardened"
encryption = true

[network]
selected_nics = ["eth0", "eth1"]       # cartes dédiées au zonage
mode          = "service+backup/admin" # mode choisi pour 2 cartes

[[network.zone]]
name = "admin"
nic  = "eth0"
addr = "10.0.0.10/24"

[admin]
user          = "monadmin"             # le nom est à votre main
ssh_pubkey    = "ssh-ed25519 AAAA…"
password_hash = "$6$…"                 # jamais de mot de passe en clair

[root]
password_hash = "$6$…"                 # brise-glace uniquement

[packages]
install = ["nginx"]

Le fichier est validé avant exécution ; toute erreur arrête proprement l'installation avec un message explicite. Deux machines installées avec le même fichier sont identiques.

Après l'installation

Connectez-vous à l'interface web depuis la zone admin : https://<ip-zone-admin>.
Consultez le rapport de conformité initial (menu Conformité).
Affectez les cartes réseau restantes si besoin (menu Réseau & zones).