Configurer une IP secondaire sur un VPS Linux

Ajouter une IP secondaire sur un VPS Linux permet de séparer des usages, d'exposer un service sur une adresse dédiée ou de préparer une migration. La méthode dépend du fournisseur, du système réseau utilisé et du routage annoncé avec l'adresse. Ce guide propose une démarche prudente, réversible et vérifiable pour un serveur VPS virtualisé.

Avant de commencer

Une adresse IP secondaire n'est pas une adresse choisie au hasard. Demandez-la à votre hébergeur et vérifiez son masque, sa passerelle, sa famille IP, sa bande passante et son mode d'acheminement. Notez aussi le nom de l'interface active :

ip -br address
ip route
ip -6 route

Conservez une session SSH déjà ouverte pendant les essais. N'appliquez pas une modification réseau à distance sans accès de secours ou console proposée par votre fournisseur. Les valeurs ci-dessous sont des exemples : remplacez ens3, 203.0.113.25 et le préfixe par les informations réellement fournies. Une connexion avec un compte root ou sudo est nécessaire.

Ajouter l'adresse temporairement pour tester

Avec la commande ip, l'ajout est immédiat mais n'est pas conservé après un redémarrage. Cette étape sert à valider l'adresse avant de modifier la configuration persistante :

sudo ip address add 203.0.113.25/32 dev ens3
ip address show dev ens3
ip route get 1.1.1.1

Le préfixe /32 n'est qu'un exemple courant pour une IP routée individuellement. Si votre hébergeur vous a fourni un autre préfixe, utilisez exactement celui-ci. Pour retirer le test :

sudo ip address delete 203.0.113.25/32 dev ens3

Rendre la configuration persistante

Sur Ubuntu récent, la configuration est souvent gérée par Netplan. Identifiez d'abord le fichier présent dans /etc/netplan, puis sauvegardez-le avant toute modification. Dans une configuration Netplan utilisant une liste d'adresses, l'ajout ressemble à ceci :

network:
  version: 2
  ethernets:
    ens3:
      addresses:
        - 192.0.2.10/24
        - 203.0.113.25/32

Ne recopiez pas cet exemple sans vérifier la passerelle, les DNS et le renderer déjà utilisés par votre machine. Appliquez avec prudence :

sudo netplan try
sudo netplan apply

netplan try est préférable lors d'une intervention distante car il permet de confirmer la configuration avant son maintien. Si votre distribution utilise NetworkManager, systemd-networkd ou ifupdown, modifiez la couche qui gère effectivement l'interface, pas un fichier inutilisé. La procédure varie entre Ubuntu et Debian : vérifiez toujours le gestionnaire réseau réellement actif.

Vérifier le routage et les services

Une adresse visible avec ip address ne garantit pas qu'un service l'utilise. Vérifiez le chemin de sortie et les sockets en écoute :

ip route
ip route get 1.1.1.1
ss -lntup

Pour un service qui doit écouter sur cette adresse, configurez explicitement son adresse d'écoute lorsque le logiciel le permet. Cela concerne par exemple un serveur Web Apache ou Nginx, un accès FTP, une base MySQL, un reverse proxy ou un panneau d'administration. Un nom de domaine et ses enregistrements DNS doivent ensuite pointer vers la bonne IP. Contrôlez depuis un autre réseau avec un outil adapté, sans supposer qu'un port est accessible simplement parce que l'IP répond.

Pare-feu et diagnostic

Une règle UFW peut viser une adresse locale, un port et un protocole. Listez l'état avant d'ajouter une règle :

sudo ufw status numbered
sudo nft list ruleset

Un firewall peut autoriser SSH sur l'ancienne adresse tout en bloquant le service sur la nouvelle. Vérifiez aussi les règles du fournisseur, le routage IPv4 ou IPv6 et les journaux du gestionnaire réseau. Si l'adresse est présente mais ne répond pas, examinez successivement l'interface, le préfixe, la route, le firewall local, le DNS et le routage côté hébergeur. Évitez de désactiver durablement la protection pour contourner un diagnostic.

Cas d'usage sur un serveur VPS

Une IP secondaire peut isoler un serveur Web, une API, un serveur de messagerie ou une interface d'administration. Elle peut aussi simplifier une migration d'un nom de domaine, à condition de réduire le TTL DNS en amont et de conserver des sauvegardes vérifiables. Elle ne remplace ni un backup, ni une règle de sécurité, ni une capacité suffisante en CPU, RAM et espace disque SSD. Avant d'ajouter plusieurs services, surveillez les ressources et la consommation de bande passante.

Sur une machine virtuelle issue d'une infrastructure de virtualisation, l'IP est généralement déclarée par l'hébergeur. Une offre VPS peut héberger plusieurs sites web, un CMS, une API, des bases de données ou des emails. Le certificat SSL, le serveur SMTP et le panneau de contrôle doivent chacun être associés au bon nom de domaine et à la bonne adresse. Cette organisation est différente d'un hébergement mutualisé, d'un serveur privé physique ou d'un serveur dédié : documentez les limites de votre environnement.

Pour un hébergement avec Plesk ou une autre interface, l'adresse doit être déclarée dans le panel si celui-ci gère les sites et les certificats. Pour un déploiement Docker, vérifiez le binding des ports et le réseau du conteneur. Dans tous les cas, documentez l'association entre IP, nom de domaine, service et règle firewall afin de pouvoir revenir à la configuration précédente.

Retirer l'IP sans provoquer de coupure

Avant de supprimer l'adresse, déplacez les services qui l'utilisent et vérifiez les enregistrements DNS concernés. Pour une adresse ajoutée temporairement, utilisez :

sudo ip address delete 203.0.113.25/32 dev ens3

Pour une configuration persistante, retirez uniquement la ligne correspondante dans le fichier géré par votre système réseau, puis appliquez la modification depuis une console de secours si vous avez le moindre doute. Gardez une copie de la configuration précédente jusqu'à la validation complète.

Checklist finale

• L'IP, sa famille et son préfixe proviennent de l'hébergeur.
• L'interface et la route ont été vérifiées avec ip.
• Le test temporaire a été réalisé avant la persistance.
• La configuration et le backup ont été sauvegardés avant modification.
• Les règles de firewall, DNS et l'adresse d'écoute des services sont cohérentes.
• Une console ou une session de secours reste disponible.

Pour approfondir l'administration, consultez aussi les premiers réglages de sécurité d'un serveur dédié, le guide Docker sur VPS, le diagnostic d'un VPS inaccessible, le Looking Glass réseau et les VPS Ubuntu.