09_01 - la création de la VM le 260909

VM Debian sur le NAS SasNexte — poste de l'univers Jux

Procédure établie le 09/09/2026. Machine installée et opérationnelle le jour même.

1. Raison d'être

Ce poste n'existe pas pour l'ubiquité, mais pour l'étanchéité. Il s'agit de cesser de mélanger deux univers sur une même machine.

	PC NEXTE (Windows)	VM Debian (NAS)
Univers	Alteris / NEXTE — professionnel	Jux — personnel
BookStack	`bookstack.alteris.ovh`	`bookstack.juxjux.ovh`
Serveur d'appui	VPS Alteris `79.137.14.202`	VPS Jux `51.77.141.54`
Outils	QGIS, LibreOffice, PostGIS, pièces de mission	Firefox, Thunderbird, FileZilla, Calibre, Claude Code

Un seul MCP BookStack par machine. C'est ce qui rend structurellement impossible de publier une procédure Alteris dans le BookStack perso, ou l'inverse — au lieu d'une discipline à tenir à chaque page.

Règle à ne pas relâcher. Pas de partage de mission NEXTE monté dans la VM, pas de coffre Alteris, pas de clé SSH vers 79.137.14.202. Un « juste un petit accès » suffit à rendre la séparation décorative.

2. Prérequis matériels — le seul point bloquant

Le DS220+ embarque un Celeron J4025 (2 cœurs, 2 threads). Le facteur limitant est la RAM.

	Valeur constatée
RAM totale	5776 Mo (2 Go soudés + barrette 4 Go ajoutée en 2023)
Consommé par DSM	~1160 Mo
Volume1	Btrfs — exigé par VMM — 1,4 To libres
DSM	7.4

VMM réserve la mémoire statiquement : les 3 Go sont retirés à DSM en permanence tant que la VM tourne, qu'elle travaille ou non. Il n'y a pas de ballooning dynamique. Le plafond utile est d'environ 3,5 Go, DSM gardant un socle incompressible de 1,5 à 2 Go. Au-delà, c'est DSM qui swappe — et comme le disque virtuel est sur ce même NAS, tout ralentit ensemble.

Sur 2 Go alloués la VM tiendrait aussi : à l'usage réel, elle consomme 369 Mo au repos. Le dimensionnement se fait sur le pic, pas sur la somme des applications — elles ne tournent jamais ensemble.

3. Création de la machine virtuelle

Virtual Machine Manager n'était pas installé : Centre de paquets → Virtual Machine Manager, puis créer un stockage sur volume1.

À la première ouverture, DSM propose d'ouvrir les ports 30200-30300 dans le pare-feu. Accepter, puis restreindre la règle au sous-réseau local (Panneau de configuration → Sécurité → Pare-feu, source 192.168.1.0 / 255.255.255.0). Ces ports n'ont aucune raison d'être joignables de l'extérieur.

Paramètres retenus

Écran	Réglage
Nom	`debian-jux`
Processeurs	2
Mémoire	3 Go
Carte vidéo	`vmvga` (seul choix)
Type de machine	`PC` (châssis i440fx, BIOS legacy)
Disque	40 Go, contrôleur VirtIO SCSI, réclamation d'espace cochée
Réseau	Default VM Network, VirtIO
Micrologiciel	Legacy BIOS, pas UEFI
Disposition clavier	`fr`
Port série	Désactiver — inutile, et il a brouillé le diagnostic
Contrôleur USB	Désactivé
Autostart	Oui

Réclamation d'espace : c'est le TRIM, à ne pas confondre avec l'allocation à la demande (que VMM applique déjà par défaut). Sans elle, le fichier disque croît au fil des apt et n'en redescend jamais.

VirtIO SCSI expose le disque en /dev/sda, pas /dev/vda.

4. Installation de Debian 13

L'image

Téléchargée directement par le NAS, ce qui évite de faire transiter 755 Mo par le PC :

cd '/volume1/Iso VM'
wget -c -O debian-13.6.0-amd64-netinst.iso \
  https://cdimage.debian.org/debian-cd/current/amd64/iso-cd/debian-13.6.0-amd64-netinst.iso
sha256sum debian-13.6.0-amd64-netinst.iso
curl -s https://cdimage.debian.org/debian-cd/current/amd64/iso-cd/SHA256SUMS | grep netinst

Les deux sommes doivent être identiques.

Le mode d'installation

Prendre « Graphical install », pas « Install ». Le mode texte impose de saisir des numéros dans des listes qui défilent hors écran, et la console noVNC de VMM gère mal le clavier. Le mode graphique donne la souris : tous les choix se font au clic.

« Graphical install » ne désigne que le mode d'affichage — le premier écran reste le choix de la langue, où l'on prend « French — Français ».

Les réponses qui comptent

Écran	Réponse
Nom de machine	`jux-debian`
Domaine	vide
Mot de passe root	(voir remarque ci-dessous)
Partitionnement	Assisté – disque entier → `sda` → tout dans une seule partition
Miroir	France, `deb.debian.org`, pas de mandataire
Sélection des logiciels	décocher tout sauf serveur SSH et utilitaires usuels du système
GRUB	Oui → `/dev/sda`

Pas de LVM : sur un disque virtuel il n'apporte rien, on agrandit le disque dans VMM. Pas de chiffrement : la VM démarre automatiquement au boot du NAS et réclamerait une passphrase en console à chaque fois.

Ne pas cocher Xfce dans la sélection des logiciels : cette case installe aussi un gestionnaire de connexion, dont on ne veut pas (voir §6).

Remarque sur le mot de passe root. Le laisser vide fait installer sudo et place l'utilisateur dans le groupe. En définissant un mot de passe root — ce qui a été fait ici — sudo n'est pas installé, et le script de post-installation doit être lancé via su - avec le nom d'utilisateur en argument.

Avant le redémarrage final : démonter l'ISO dans les paramètres de la VM (Autres → Fichier ISO pour le démarrage → Démonté), sinon elle reboote sur l'installeur.

5. LE PIÈGE — la console meurt au démarrage

Symptôme. Après l'installation, l'écran se fige systématiquement sur :

/dev/sda1: clean, 40622/2485504 files, 552845/9938432 blocks
[  5.812838] systemd-ssh-generator[255]: Failed to query local AF_VSOCK CID
[  5.958389] systemd[1]: Finished modprobe@efi_pstore.service
[  6.941405] ACPI: bus type drm_connector registered

Plus rien ensuite. Aucune invite de connexion, Ctrl+Alt+F2 sans effet, et la machine n'apparaît pas sur le réseau.

Cause. Trente millisecondes après drm_connector registered, le pilote de la carte vidéo vmvga prend la main sur l'écran et tue la console. Le système, lui, démarre parfaitement : SSH répond, le réseau monte, l'invite de connexion existe — elle n'est simplement plus affichée nulle part.

Correctif — dans /etc/default/grub :

GRUB_CMDLINE_LINUX_DEFAULT="nomodeset"

puis update-grub. nomodeset interdit le kernel modesetting et garde la console en VGA texte de bout en bout.

Retirer quiet en même temps, et ne jamais le remettre. C'est lui qui rend le diagnostic impossible : entre les messages du noyau et l'invite de connexion, l'écran reste muet, et rien ne distingue un démarrage figé d'un démarrage silencieux.

Deux fausses pistes, pour ne pas les refaire

Le port série. Plausible — on l'avait activé, et une console redirigée vers ttyS0 produit exactement ce gel. Mais la ligne GRUB ne contenait aucun console=ttyS0. Vérifier avant de supposer.
Un blocage du démarrage. Écarté par un détail : le compteur de fichiers affiché par fsck augmentait d'un démarrage à l'autre (40500 puis 40622). Un système qui ne démarre pas n'écrit rien.

Comment atteindre GRUB

La console VMM n'existe que si la VM tourne — impossible de l'ouvrir « avant ». Il faut garder la fenêtre de console ouverte (bouton Connect), démarrer la VM depuis DSM, cliquer Connect aussitôt et maintenir Maj : GRUB affiche alors son menu et suspend le décompte.

Sur la ligne « Debian GNU/Linux », appuyer sur e — pas Entrée — descendre jusqu'à la ligne linux /boot/vmlinuz…, aller en fin de ligne, ajouter nomodeset et supprimer quiet, puis Ctrl+X.

Les entrées « recovery mode » sont inutilisables si le compte root est verrouillé (mot de passe vide à l'installation) : le shell de secours refuse de s'ouvrir.

6. Post-installation

Script : 260909-postinstall_vm_debian_jux_v2.sh. Idempotent, environ 20 minutes et 1,5 Go de paquets.

su -
bash /home/julien/260909-postinstall_vm_debian_jux_v2.sh julien 2>&1 \
  | tee /home/julien/260909-postinstall.log

L'argument julien est nécessaire : sans sudo, le script ne peut pas deviner pour quel utilisateur il travaille.

Étape	Contenu
0	GRUB : `nomodeset` ajouté, `quiet` retiré, fichier d'origine sauvegardé
1	Locale `fr_FR.UTF-8`, clavier français, fuseau Europe/Paris
2-3	Mise à jour, socle (`sudo`, `curl`, `git`, `ripgrep`…)
4	XFCE sans gestionnaire de connexion
5	xrdp + xorgxrdp, `~/.xsession`, règle polkit
6	Firefox ESR, Thunderbird, FileZilla, Calibre (+ paquets de langue)
7	Node.js, puis Claude Code via npm avec préfixe `~/.npm-global`
8	Syncthing, ufw (22, 3389, 22000, 21027)

Deux partis pris

Pas de gestionnaire de connexion. La VM n'a pas d'écran ; c'est xrdp qui ouvre la session. Cela évite le conflit « session déjà ouverte » qui empoisonne les installations XFCE + xrdp, et économise environ 150 Mo.

L'interface web de Syncthing n'écoute qu'en local. L'exposer sur le réseau donnerait un accès sans mot de passe à tout le contenu synchronisé.

7. Accès

Bureau à distance

mstsc /v:192.168.1.10

Accepter l'avertissement de certificat (auto-signé), puis sur l'écran xrdp : Session = Xorg, utilisateur julien.

Depuis un mobile : Microsoft Remote Desktop, même adresse.

RustDesk a été écarté. L'infrastructure existe pourtant sur le VPS Jux (hbbs/hbbr, client enregistré, diode verte) mais n'a jamais donné de session exploitable — il échoue silencieusement, sans rien laisser d'exploitable pour diagnostiquer.

Pour l'accès en déplacement, la voie retenue est WireGuard sur le VPS Jux + RDP : le diagnostic y est binaire (wg show affiche un handshake, ou rien), les clients sont natifs partout, aucun port n'est à ouvrir sur la box — c'est la VM qui monte le tunnel vers le VPS — et le même tunnel sert aussi pour SSH et pour DSM.

Interface Syncthing

ssh -L 8385:127.0.0.1:8384 julien@192.168.1.10

puis http://127.0.0.1:8385.

Le port local est 8385 et non 8384 : le Syncthing du PC NEXTE occupe déjà 8384, et le tunnel échouerait sur bind: Permission denied. Les deux interfaces sont identiques à l'écran — vérifier le nom de l'appareil en haut à droite (jux-debian) avant de déclarer un partage.

8. État final vérifié


Machine	`jux-debian`, `192.168.1.10`, Debian 13.6, noyau 6.12.107
Interface réseau	`ens3` (VirtIO)
Services actifs	ssh, xrdp, syncthing@julien
Ports ouverts	22 et 3389 ; 8384 fermé de l'extérieur
Applications	Firefox ESR 140, Thunderbird 140, FileZilla 3.68, Calibre 8.5, XFCE 4.20
Claude Code	2.1.266
RAM au repos	369 Mo sur 2978

9. Reste à faire

1 · MCP BookStack perso, dans la VM — jeton à créer sur bookstack.juxjux.ovh (profil → Jetons d'API ; le secret n'est affiché qu'une fois) :

claude mcp add -s user bookstack-jux \
  -e BOOKSTACK_BASE_URL=https://bookstack.juxjux.ovh/api \
  -e BOOKSTACK_API_TOKEN=ID:SECRET \
  -e MCP_TRANSPORT=stdio -- npx -y bookstack-mcp-server

Le suffixe /api est obligatoire, le jeton s'écrit id:secret.

2 · Réserver 192.168.1.10 dans le DHCP de la box, sinon l'adresse bougera.

3 · Comptes Thunderbird.

4 · WireGuard sur le VPS Jux 51.77.141.54.

5 · Vérifier ufw : sudo ufw status verbose. Le pare-feu annonce « Firewall is active and enabled on system startup » et ses règles sont chargées, mais systemctl is-active ufw renvoie inactive — comportement connu de cette unité, non confirmé faute de droits root au moment du contrôle.

10. À retenir pour toute future VM Linux sur ce NAS

nomodeset est obligatoire avec la carte vmvga de VMM sous Debian 13. Sans lui, la machine paraît plantée alors qu'elle fonctionne parfaitement.
Ne jamais laisser quiet : c'est la différence entre un diagnostic en deux minutes et une heure de tâtonnements.
Désactiver le port série : inutile, et il oriente le diagnostic sur une fausse piste.
Mode graphique pour l'installeur, à cause du clavier de la console noVNC.
VirtIO SCSI → /dev/sda, jamais /dev/vda.