Raspberry Pi - Open VPN / FTP / Passbolt

Bonjour,

je sais que c'est une très mauvaise idée

Des millions de serveurs exposent leurs services. Mais, pour les mêmes raisons qu'on fait du HTTPS, il faut aussi faire du FTPS (FTP via TLS).

mais je continue de recevoir de nombreuses tentatives de connexion non autorisées.

C'est juste du bruit de fond, tous les serveurs avec une IP publique y sont sujet. Si les logs que cela génère te gênent, tu peux les ignorer, voire désactiver le logging des connexions invalides au niveau de ton serveur FTP.

Je souhaite savoir s'il est possible d'ajouter une couche de sécurité en mettant en place un serveur VPN OpenVPN

Avec OpenVPN, les accès non-autorisés seront bloqués au niveau "réseau" pour ne pas déranger la partie "application" (le serveur FTP) inutilement. Au plus tôt tu casses les espoirs des bots / script kiddies, au moins ils consommeront ton débit inutilement. OpenVPN peut abandonner la connexion au premier paquet entrant (voir option tls-crypt).

Il y a aussi des désavantages, tu devras établir la connexion VPN avant d'accéder aux ressources de ton réseau privé. Et si tu veux ouvrir tes services (FTP, Passbolt, ...) à d'autres personnes il faudra aussi leur fournir l'accès au VPN.

Un chiffrement réseau (VPN, WiFi avec WPA...) n'est pas un substitut du chiffrement applicatif (HTTPS, FTPS, ...), l'idéal est de faire les deux.

Ma première question est de savoir si je peux héberger le serveur FTP sur le même Raspberry Pi que celui utilisé pour OpenVPN.

Ma deuxième question est de savoir s'il est possible d'intégrer un gestionnaire de mots de passe tel que Passbolt dans ce système.

Oui pour les deux questions, c'est en fait la même question : un service FTP, l'autre service en HTTP, mais ça change rien niveau réseau/routage.

Je suppose que tu utiliseras le VPN en split tunnel. Tu peux mettre les deux services (FTP et Passbolt) en écoute sur l'IP que le RPi possède sur le réseau local réel (e.g. 192.168.0.50), et ajouter une règle de routage sur les clients VPN (via le .ovpn client ou serveur (par "push"), au choix) pour qu'ils routent leur trafic à destination de 192.168.0.0/24 via le tunnel VPN.

De cette façon, l'IP pour y accéder restera la même que tu sois chez toi (où 192.168.0.50 est le choix évident) ou à l'extérieur, via le VPN.

Merci beaucoup pour ta réponse qui répond parfaitement à mes questions !
Tu as très bien saisi ce que je voulais faire.
Je vais prendre le temps de me documenter avant de créer le nouveau monstre de Frankenstein.