Installer une pile LEMP sur un VPS Linux AlmaLinux 9

Une pile LEMP (Linux, Nginx, MariaDB, PHP-FPM) est une alternative rapide et légère à Apache pour servir des sites PHP. Sur AlmaLinux 9, tout vient du dépôt officiel AppStream, mais SELinux et firewalld demandent un peu d'attention. Ce guide vous accompagne pour une installation propre sur votre VPS Linux Infrawire ; les mêmes étapes fonctionnent sur Rocky Linux 9.

📋 Prérequis

• Un VPS KVM sous AlmaLinux 9 (l'IP et le mot de passe root se trouvent dans votre espace client)
• Un accès SSH en root
• Un domaine example.com pointant vers VPS_IP

1. Mettre à jour le système et installer les outils

Bash
1dnf -y update
2dnf -y install nano policycoreutils-python-utils

policycoreutils-python-utils fournit semanage, utilisé dans la section SELinux.

2. Installer Nginx et ouvrir le pare-feu

Bash
1dnf -y install nginx
2systemctl enable --now nginx
3firewall-cmd --permanent --add-service=http --add-service=https
4firewall-cmd --reload
5firewall-cmd --list-services

3. Installer MariaDB

Bash
1dnf -y install mariadb-server
2systemctl enable --now mariadb
3mysql_secure_installation

Répondez à l'assistant pour définir un mot de passe root, supprimer les utilisateurs anonymes, interdire la connexion root à distance et supprimer la base de test. Créez ensuite une base et un utilisateur dédiés :

Bash
1mysql -u root -p

SQL
1CREATE DATABASE appdb CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;
2CREATE USER 'appuser'@'localhost' IDENTIFIED BY 'STRONG_PASSWORD';
3GRANT ALL PRIVILEGES ON appdb.* TO 'appuser'@'localhost';
4FLUSH PRIVILEGES;
5EXIT;

4. Installer PHP 8.3 depuis le module AppStream

AppStream propose plusieurs flux PHP. Sélectionnez celui que vous voulez avant l'installation :

Bash
1dnf module list php
2dnf -y module reset php
3dnf -y module enable php:8.3
4dnf -y install php-fpm php-cli php-mysqlnd php-gd php-mbstring php-xml php-intl php-opcache php-pecl-zip
5php -v

Par défaut, le pool PHP-FPM tourne sous l'utilisateur apache. Nginx tournant sous nginx, alignez le pool et les répertoires de sessions :

Bash
1sed -i 's/^user = apache/user = nginx/; s/^group = apache/group = nginx/' /etc/php-fpm.d/www.conf
2chown -R root:nginx /var/lib/php/session /var/lib/php/wsdlcache /var/lib/php/opcache
3grep -E '^(user|group|listen)' /etc/php-fpm.d/www.conf
4systemctl enable --now php-fpm

Le pool écoute sur le socket Unix /run/php-fpm/www.sock.

5. Créer le server block

Bash
1mkdir -p /var/www/example.com/public
2chown -R nginx:nginx /var/www/example.com
3nano /etc/nginx/conf.d/example.com.conf

Nginx
1server {
2    listen 80;
3    listen [::]:80;
4    server_name example.com www.example.com;
5    root /var/www/example.com/public;
6    index index.php index.html;
7
8    location / {
9        try_files $uri $uri/ /index.php?$query_string;
10    }
11
12    location ~ \.php$ {
13        include fastcgi_params;
14        fastcgi_pass unix:/run/php-fpm/www.sock;
15        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
16    }
17
18    location ~ /\.(?!well-known) {
19        deny all;
20    }
21}

Bash
1nginx -t && systemctl reload nginx

6. Configurer SELinux

Laissez SELinux en mode enforcing (getenforce). Les fichiers créés sous /var/www reçoivent déjà l'étiquette httpd_sys_content_t, mais ceux déplacés avec mv depuis ailleurs gardent l'ancienne. Réétiquetez-les et n'accordez l'écriture qu'aux répertoires qui en ont besoin :

Bash
1restorecon -Rv /var/www/example.com
2mkdir -p /var/www/example.com/public/uploads
3semanage fcontext -a -t httpd_sys_rw_content_t '/var/www/example.com/public/uploads(/.*)?'
4restorecon -Rv /var/www/example.com/public/uploads

N'activez ensuite les booléens que si votre application en a besoin :

Bash
1# PHP se connecte à une base en TCP (serveur distant ou 127.0.0.1)
2setsebool -P httpd_can_network_connect_db 1
3
4# PHP ou Nginx émet des connexions sortantes (API, proxy_pass vers une appli)
5setsebool -P httpd_can_network_connect 1

Une base MariaDB locale jointe par son socket n'a besoin ni de l'un ni de l'autre. Pour voir ce que SELinux bloque, lancez ausearch -m avc -ts recent. Ne « réparez » jamais un problème avec setenforce 0.

7. Tester PHP puis supprimer le fichier de test

Bash
1echo '<?php phpinfo();' > /var/www/example.com/public/info.php
2curl -sI http://example.com/info.php | head -n 1
3rm /var/www/example.com/public/info.php

Attendez-vous à HTTP/1.1 200 OK. La page phpinfo() révèle votre configuration : supprimez-la aussitôt. Vérifiez enfin les services :

Bash
1systemctl is-active nginx php-fpm mariadb

🛠️ Dépannage

502 Bad Gateway. PHP-FPM est arrêté ou le chemin du socket dans fastcgi_pass est faux. Lancez systemctl status php-fpm, vérifiez ls -l /run/php-fpm/www.sock et lisez /var/log/nginx/error.log. Si le journal indique Permission denied sur le socket, cherchez un refus AVC avec ausearch.

403 Forbidden ou Permission denied. Vérifiez le propriétaire (nginx:nginx) et l'étiquette SELinux avec ls -Z /var/www/example.com/public. Elle doit être httpd_sys_content_t ; sinon, lancez restorecon -Rv.

« File not found. » ou page blanche. Le chemin root ou la ligne SCRIPT_FILENAME est incorrect. Contrôlez les deux, puis nginx -t.

Impossible de joindre une base ou une API externe. SELinux bloque par défaut les connexions sortantes : activez httpd_can_network_connect_db ou httpd_can_network_connect comme indiqué plus haut.

---

🎉 Nginx, MariaDB et PHP-FPM tournent sur AlmaLinux 9, avec SELinux toujours en mode enforcing.