Debian 10 – Installation d’une seedbox sécurisée et anonyme avec Deluge, Jackett, Sonarr, Radarr, Lidarr, Docker et SSL/TLS

Cet article décrit la procédure pour installer une seedbox automatisée, anonyme et sécurisée sur Debian 20.04 avec l’utilisation de Docker et OpenVPN.

   
• À qui s’adresse ce tutoriel ?

  Si vous souhaitez automatiser le téléchargement des films, séries TV et albums de musique dès leur disponibilité pour ensuite les streamer sur votre ordinateur, smartphone ou encore votre smartTV, alors cet article est fait pour vous ! Côté sécurité, vous serez totalement anonyme et protégé !

  Cette procédure fonctionne à la fois pour des installations en local, sur VM ou sur serveur dédié (kimsufi, dedibox, etc.). Il n’est pas obligatoire d’avoir un nom de domaine pour y accéder de l’extérieur. Toutefois, si vous en possédez un, nous verrons comment mettre en place un serveur HTTP Nginx ou Traefik et chiffrer vos échanges avec le protocole SSL/TLS.

• Pourquoi Docker et OpenVPN ?

  Votre seedbox sera déployée en quelques minutes ! Docker permet en quelques commandes d’installer et d’exécuter tous les outils dont vous aurez besoin. Chaque outil est isolé et possède son propre container Docker. Chaque container contient toutes les dépendances (librairies, démons, configurations, etc.) nécessaires à son exécution sans interférer avec les autres outils ou d’autres services installés sur votre serveur. Enfin les mises à jour des outils sont simplifiées et peuvent être totalement automatisées (nous le verrons). Les images Docker sont versionnées et permettent de redéployer une version précédente très facilement.

  L’utilisation d’OpenVPN n’est pas obligatoire dans ce tutoriel mais fortement recommandée. Sachez que votre véritable IP est dévoilée lorsque vous utilisez le réseau P2P. Celle-ci est donc visible par certaines autorités (sans les citer…) et par les autres utilisateurs du réseau.

  L’utilisation d’OpenVPN associé à un VPN permet de masquer votre IP. Les deux VPN présentés dans la suite du tutoriel ne gardent aucune trace de vos connexions (aucune conservation de log) et autorisent l’utilisation du réseau P2P. De plus si pour une raison ou une autre, le VPN venait à tomber, vos téléchargements seraient automatiquement interrompus.

• Les outils utilisés

  Pour télécharger vos films, séries TV et fichiers audio, les fichiers .torrent seront ajoutés dans l’outil Deluge. Deluge est un client BitTorrent multiplateforme libre basé sur libtorrent. Il est réputé pour sa stabilité, sa vitesse et son côté poids plume et dispose d’une interface claire et intuitive. Enfin il s’avère extrêmement modulable grâce à la possibilité de lui ajouter de nombreux plugins.

  

  Sonarr permet de rechercher vos fichiers .torrent et d’automatiser le téléchargement de vos séries préférées. Vous ajoutez une série dans l’interface en précisant la qualité et la langue souhaitées et Sonarr recherchera celle-ci via les indexers configurés. Enfin Sonarr ajoutera automatiquement dans Deluge la série en téléchargement. Parmi les nombreuses fonctionnalités de Sonarr, celui-ci dispose de tâches automatiques et quotidiennes ajoutant automatiquement un épisode fraichement sorti. L’interface dispose aussi d’un calendrier répertoriant les sorties des prochains épisodes.

  

  Radarr et Lidarr ont un fonctionnement similaire à Sonarr mais respectivement pour les films et les fichiers audio.

  Cependant Sonarr et Radarr ne proposent que très peu d’indexers (ou trackers) aujourd’hui. Jackett permet de combler ce manque et prend en charge plus d’une centaine de trackers. De nombreux trackers Français (YGGtorrent) sont supportés ainsi que des trackers privés et semi-privés nécessitant un compte.
  Jackett fonctionne comme un serveur proxy, lorsque vous effectuez une recherche via Sonarr ou Radarr, celui-ci transforme et transmet la requête au tracker, analyse la réponse puis renvoie les résultats à l’application émettrice. Jackett prend aussi en charge les flux RSS.

  

  Enfin Plex est une solution centralisant l’ensemble de vos médias (films, séries, musiques, photos) et les diffusant sur n’importe quel appareil disposant d’une connexion internet.

  Plex, basé sur XBMC, repose sur une architecture en deux parties. D’un côté, l’application serveur contient l’ensemble de vos médias, facilite l’organisation de votre collection (par thèmes, saisons, albums, etc.) et complète les informations relatives à chaque média, en effectuant une recherche sur les principales bases de données en ligne (TMDb, MoviePosterDB, etc.). L’application convertit vos médias à la volée dans un format compatible avec le lecteur.

  De l’autre côté, l’application lecteur (votre navigateur, l’application Plex sur votre mobile, SMART TV, etc.) vous permet de visualiser vos médias. La qualité du flux streamé est ajustée en fonction de la qualité de votre réseau et celui-ci dispose de nombreuses fonctionnalités comme la synchronisation et la lecture hors-ligne ou encore la récupération automatique de sous-titres.

  Plex

  

1 – Prérequis

• Vous devez disposer de Debian 10.
• Votre utilisateur doit avoir accès à sudo. Suivez cette procédure si ce n’est pas le cas.
• Si vous disposez d’un serveur Kimsufi, Debian embarque un noyau recompilé par OVH qui semble plutôt capricieux quand il s’agit d’héberger du Docker. Vous devez au préalable suivre l’étape 1 uniquement de la procédure suivante.
• Les paquets curl et software-properties-common doivent être installés sur votre système. Dans le doute, tapez la commande suivante :

  sudo apt-get install -y curl software-properties-common

• Vos dépôts APT doivent être à jour. Dans le doute, tapez la commande suivante :

  sudo apt-get update

2 – Installation de Docker & Docker Compose

1. Installez Docker :

   sudo apt-get install -y docker.io

2. Vérifiez que Docker est correctement installé avec la commande :

   docker -v
   Docker version 19.03.8, build afacb8b7f0

   La commande doit retourner la version installée de Docker.

3. Téléchargez Docker Compose avec la commande suivante en modifiant la version si besoin avec la dernière release du repository officiel de Docker :

   sudo curl -L https://github.com/docker/compose/releases/download/1.26.2/docker-compose-`uname -s`-`uname -m` -o /usr/local/bin/docker-compose

4. Ajoutez les droits d’exécution sur le binaire de Docker Compose :

   sudo chmod +x /usr/local/bin/docker-compose

5. Vérifiez l’installation de Docker Compose avec la commande :

   docker-compose -v
   docker-compose version 1.26.2, build 8a1c60f6

   Si l’installation s’est correctement effectuée, cette commande doit vous renvoyer la version de Docker Compose.

3 – Droits Unix et arborescence

Il est recommandé, pour des raisons de sécurité, de créer un utilisateur dédié à la gestion des volumes Docker (Deluge, Jackett, Sonarr, Radarr et Lidarr) et de ne pas les lancer sous votre super-utilisateur.

1. Créez un utilisateur media :

   sudo adduser media

2. Ajoutez-le au groupe docker :

   sudo adduser media docker

L’arborescence utilisée sur le filesystem sera la suivante :

data
├── movies
├── music
├── torrents
└── tv

Le choix de spécifier un répertoire par type de média sera très utile pour la gestion des librairies au sein de Plex. Un fichier téléchargé via Deluge restera dans le dossier /data/torrents tant qu’il sera en cours de téléchargement. Une fois terminé, celui-ci sera automatiquement déplacé par Deluge dans le répertoire /data/movies, /data/tv ou /data/music selon si le téléchargement a été ajouté par Radarr, Sonarr ou Lidarr. Nous verrons plus tard comment configurer des labelsem> afin de déplacer automatiquement un média dans le bon répertoire.

1. Créez l’arboresence dédiée aux téléchargements :

   sudo mkdir -p /data/torrents /data/movies /data/music /data/tv

2. Attribuez ces répertoires à l’utilisateur media pour éviter de futurs problèmes de permissions :

   sudo chown media:media /data/torrents /data/movies /data/music /data/tv

4 – Création des volumes Docker

4.1 – Deluge

Si vous souhaitez installer Transmission plutôt que Deluge, rendez-vous sur ce lien.

Trois possibilités s’offrent à vous concernant les volumes Docker. Les deux premières, fortement recommandées, consistent à utiliser une image Docker composée de Deluge et d’OpenVPN. Cette image permet, de façon anonyme et sécurisée, de télécharger vos torrents via une interface VPN. Elle dispose aussi de règles iptables qui font en sorte que si, pour une raison ou une autre, le VPN venait à tomber, les téléchargements seraient interrompus et votre véritable IP ne serait pas dévoilée.

Cette image Docker fonctionne avec les VPN AirVPN et Private Internet Access (PIA). La configuration de PIA est plus rapide à mettre en place mais les tarifs d’AirVPN sont imbattables.
Quelque soit votre choix entre ces deux fournisseurs, vous disposerez d’un VPN rapide, stable, fortement chiffré, confidentiel (aucune conservation d’historique) et adapté au P2P. Après presque 10 ans d’utilisation de ces VPN, je peux vous garantir qu’ils ne laissent aucune trace…

Si vous voulez tester AirVPN (configuration, débits, etc.), je peux vous fournir un accès gratuit pendant 24h. Contactez-moi

La dernière possibilité est de s’affranchir du VPN et d’utiliser une image contenant simplement Deluge. Sachez simplement que votre IP sera visible par les autres utilisateurs du réseau P2P et que vos téléchargements ne seront ni chiffrés, ni anonymes…

4.2 – Sonarr, Radarr, Lidarr, Jackett et Plex

Chacun des outils utilisés est facultatif, si vous ne souhaitez pas utiliser tel ou tel outil, il suffit de ne pas le mettre dans le fichier docker-compose.yml.

1. Editez le fichier /home/media/docker-compose.yml et ajoutez les lignes suivantes à la suite du container Deluge :

   version: '3.7'
   services:
     deluge:
     
         [ ... ]
       - ${PATH_MEDIA}:/downloads
     
     jackett:
       image: linuxserver/jackett:latest
       container_name: jackett
       restart: unless-stopped
       network_mode: "host"
       environment:
         - PUID=${PUID}
         - PGID=${PGID}
         - TZ=Europe/Paris
       volumes:
         - /home/media/jackett/config:/config
         - /etc/localtime:/etc/localtime:ro
   
     sonarr:
       image: linuxserver/sonarr:latest
       container_name: sonarr
       restart: unless-stopped
       network_mode: "host"
       environment:
         - PUID=${PUID}
         - PGID=${PGID}
         - TZ=Europe/Paris
       volumes:
         - /home/media/sonarr/config:/config
         - ${PATH_MEDIA}:/data
   
     radarr:
       image: linuxserver/radarr:latest
       container_name: radarr
       restart: unless-stopped
       network_mode: "host"
       environment:
         - PUID=${PUID}
         - PGID=${PGID}
         - TZ=Europe/Paris
       volumes:
         - /home/media/radarr/config:/config
         - ${PATH_MEDIA}:/data
   
     lidarr:
       image: linuxserver/lidarr:latest
       container_name: lidarr
       restart: unless-stopped
       network_mode: "host"
       environment:
         - PUID=${PUID}
         - PGID=${PGID}
         - TZ=Europe/Paris
       volumes:
         - /home/media/lidarr/config:/config
         - ${PATH_MEDIA}:/data
   
     plex:
       image: linuxserver/plex:latest
       container_name: plex
       restart: unless-stopped
       network_mode: "host"
       environment:
         - VERSION=latest
         - PUID=${PUID}
         - PGID=${PGID}
         - TZ=Europe/Paris
       volumes:
         - /home/media/config:/config
         - ${PATH_MEDIA}:/data

2. Démarrez l’ensemble de vos containers :

   docker-compose up -d

3. Attention, docker est un processus lancé en tant que root. Ce qui signifie que les fichiers de configuration créés au démarrage de vos containers ont le propriétaire et groupe root. Pour éviter de futures problèmes liés aux permissions, l’utilisateur media doit pouvoir lire et écrire dans ces fichiers de configuration.

   Repassez sous votre super utilisateur et attribuez les fichiers de configurations à l’utilisateur media :

   exit

   sudo chown -R media:media /home/media

4.3 – Mise à jour automatique des images Docker

Pour profiter des dernières fonctionnalités (codecs Plex, URL des trackers de Jackett mises à jour, etc.) et des derniers patchs de sécurité, il est important d’avoir des images Docker à jour.

Si vous avez plusieurs docker-compose.yml sur votre système, je vous invite à consulter cet article.

Nous allons automatiser la mise à jour des images via une règle crontab. Celle-ci sera planifiée pour exécution tous les jours à 23h42. Les traces liées à l’exécution de ces commandes seront enregistrées dans un fichier /var/log/docker-updater.log.

1. Éditez la crontab :

   sudo crontab -e

2. Ajoutez la ligne suivante :

   42 23 * * * (cd /home/media && /usr/local/bin/docker-compose pull && /usr/local/bin/docker-compose up -d --remove-orphans && /usr/bin/docker image prune -f) > /var/log/docker-updater.log 2>&1

3. Sauvegardez et quittez.

5 – (Facultatif) Accès à distance

• Si vous souhaitez rester full Docker et accéder à vos services via une URL de type https://deluge.mondomaine.com par exemple, je vous conseille l’utilisation de Traefik :
  Choix 1 : Accès de l’extérieur avec Traefik

• Si vous possédez déjà un serveur Nginx (ou si vous êtes plus à l’aise avec Nginx) et souhaitez accéder à vos services via une URL de type https://mondomaine.com/deluge par exemple, je vous conseille l’utilisation de Nginx :
  Choix 2 : Accès de l’extérieur avec Nginx

6 – Configuration et problèmes rencontrés

Nous allons maintenant configurer les applications pour qu’elles puissent communiquer entre elles et que chacune d’elles dispose d’un minimum de sécurité :

Configuration et problèmes rencontrés