Comment surveiller son VPS avec Netdata

Apprendre à surveiller VPS Netdata est l'une des façons les plus rapides d'obtenir une visibilité temps réel sur votre serveur sans empiler des outils lourds. Netdata collecte des milliers de métriques par seconde (CPU, RAM, disque NVMe, réseau, processus) et les affiche dans un dashboard fluide. Ce tutoriel 2026 couvre l'installation, la sécurisation et l'exploitation concrète sur un VPS Linux.

Pourquoi surveiller son VPS avec Netdata

Un VPS en production sans monitoring, c'est piloter à l'aveugle. Vous découvrez les problèmes quand un service tombe ou qu'un client remonte une lenteur. Netdata inverse cette logique : il expose en continu l'état de la machine avec une granularité par seconde, là où beaucoup d'outils se contentent d'une moyenne toutes les minutes.

Ce que Netdata apporte concrètement

• Métriques haute résolution : collecte par seconde, idéale pour repérer les pics courts.
• Zéro configuration initiale : la détection automatique gère la plupart des services (Nginx, MySQL, systemd, disques).
• Faible empreinte : consommation CPU et RAM maîtrisée, adaptée à un VPS mutualisant plusieurs charges.
• Dashboard local : accessible via navigateur, sans dépendre d'un SaaS externe pour l'affichage de base.

Sur un VPS Linux OmegaCloud équipé de stockage SSD SAS, Netdata permet notamment de valider que vos I/O disque tiennent la charge et que la latence intra-datacenter n'introduit pas de goulet réseau.

Ce que Netdata ne remplace pas

Netdata est un outil de monitoring et d'alerting, pas un pare-feu ni une protection réseau. La mitigation DDoS volumétrique est déjà gérée côté infrastructure par OmegaCloud, de façon transparente au niveau kernel. Netdata reste utile pour observer les effets d'un trafic anormal, mais il n'assure pas la défense périmétrique.

Installer Netdata sur un VPS Linux

L'installation se fait en quelques minutes. On part du principe que vous disposez d'un accès root SSH sur une distribution Debian, Ubuntu, Rocky ou Alma.

Préparer le système

Commencez par mettre à jour les paquets. Sur Debian/Ubuntu :

apt update
apt upgrade -y
apt install -y curl

Sur Rocky/Alma, l'équivalent utilise dnf :

dnf upgrade -y
dnf install -y curl

Installation via le kickstart officiel

Netdata fournit un script d'installation qui détecte votre distribution et gère les dépendances. Sur un VPS, cette méthode reste la plus fiable pour obtenir une version récente :

wget -O /tmp/netdata-kickstart.sh https://get.netdata.cloud/kickstart.sh
sh /tmp/netdata-kickstart.sh --stable-channel --disable-telemetry

L'option --stable-channel privilégie une branche stable plutôt que nightly. --disable-telemetry coupe l'envoi de statistiques anonymes vers l'éditeur, un choix recommandé en environnement professionnel.

Installation depuis les dépôts de la distribution

Si vous préférez un cycle de mise à jour aligné sur votre gestionnaire de paquets, Netdata est disponible dans les dépôts Debian et Ubuntu :

apt install -y netdata

Cette version est parfois en retard sur les fonctionnalités, mais elle simplifie la maintenance et les correctifs de sécurité via apt upgrade.

Vérifier le service

Une fois installé, Netdata tourne comme un service systemd. Vérifiez son état :

systemctl status netdata
systemctl enable netdata

Le daemon écoute par défaut sur le port 19999. À ce stade, il est accessible sur http://VOTRE_IP:19999, mais nous allons rapidement sécuriser cet accès.

Sécuriser l'accès au dashboard Netdata

Exposer le port 19999 en clair sur Internet est une mauvaise idée. Le dashboard révèle des informations sensibles sur votre infrastructure. Deux approches sérieuses existent : restreindre l'accès par firewall, ou passer par un tunnel SSH.

Restreindre l'écoute à localhost

La méthode la plus propre consiste à forcer Netdata à n'écouter que sur l'interface locale. Éditez /etc/netdata/netdata.conf :

[web]
    bind to = 127.0.0.1

Puis rechargez le service :

systemctl restart netdata

Le dashboard n'est alors plus joignable depuis l'extérieur. Vous y accédez via un tunnel SSH depuis votre poste :

ssh -L 19999:localhost:19999 root@VOTRE_IP

Ouvrez ensuite http://localhost:19999 dans votre navigateur local. Le trafic transite chiffré dans le tunnel SSH, sans exposer aucun port supplémentaire.

Filtrer avec le pare-feu

Si vous devez tout de même exposer le port à certaines IP (poste de supervision fixe), utilisez ufw pour n'autoriser qu'une source précise :

ufw default deny incoming
ufw allow 22/tcp
ufw allow from 203.0.113.10 to any port 19999 proto tcp
ufw enable

Adaptez 203.0.113.10 à l'adresse de votre bureau ou de votre bastion. Pour une configuration plus fine, nftables offre un contrôle granulaire des chaînes et des sets d'adresses.

Bonnes pratiques SSH et fail2ban

La sécurité du monitoring commence par celle de l'accès au serveur. Désactivez l'authentification par mot de passe au profit des clés SSH :

ssh-keygen -t ed25519 -C "admin@omega"
ssh-copy-id root@VOTRE_IP

Puis, dans /etc/ssh/sshd_config, passez PasswordAuthentication no et rechargez le service. Ajoutez fail2ban pour bloquer les tentatives de brute force :

apt install -y fail2ban
systemctl enable --now fail2ban

Enfin, activez le 2FA sur le panel OmegaCloud pour protéger la couche de gestion (reboot, reinstall, snapshots, console KVM). Pour les recommandations de durcissement système, la documentation de référence reste celle de l'Source.

Exploiter Netdata au quotidien : alertes et métriques utiles

Installer Netdata n'est qu'un début. La valeur vient de l'exploitation des données et de la configuration d'alertes pertinentes pour votre charge de travail.

Les métriques à surveiller en priorité

Métrique	Ce qu'elle révèle	Seuil d'attention typique
CPU iowait	Saturation disque, attente d'I/O	> 20% soutenu
RAM disponible	Risque de swap et d'OOM killer	< 10% libre
Disk utilization NVMe	Débit et latence du stockage	> 80% util. continue
Load average	Charge globale relative aux cœurs	> nombre de vCPU
Trafic réseau	Pics inhabituels, exfiltration	Selon baseline

Configurer une alerte personnalisée

Les alertes Netdata sont définies dans des fichiers de configuration health.d. Créez une règle pour être notifié quand la RAM disponible descend trop bas :

cat > /etc/netdata/health.d/ram_custom.conf <<'EOF'
 alarm: ram_low
    on: system.ram
lookup: average -1m percentage of avail
 units: %
 every: 30s
  warn: $this < 15
  crit: $this < 8
  info: Mémoire disponible faible
EOF

systemctl restart netdata

Envoyer les notifications

Netdata supporte de nombreux canaux : e-mail, Slack, Discord, ou webhook générique. La configuration passe par /etc/netdata/health_alarm_notify.conf. Le mode webhook s'intègre naturellement avec les Integrations & API OmegaCloud, permettant de router les alertes vers votre outillage existant ou vos pipelines CI/CD (GitHub Actions, GitLab CI).

Corréler avec le dashboard du panel

Netdata donne une vue interne au système d'exploitation. Le dashboard temps réel du panel OmegaCloud, lui, expose la vue côté hyperviseur (CPU/RAM/SSD/réseau du VPS). Croiser les deux permet de distinguer un problème applicatif d'une contrainte d'infrastructure. Si un pic réseau apparaît sans charge applicative, c'est le signe à investiguer, sachant que la mitigation volumétrique reste assurée en amont.

Réduire la rétention pour économiser les ressources

Sur un petit VPS, la base de métriques (dbengine) peut consommer de l'espace. Ajustez la rétention dans netdata.conf :

[db]
    mode = dbengine
    dbengine multihost disk space MB = 256

Cela plafonne l'usage disque de la base tout en conservant assez d'historique pour le diagnostic courant.

Cas d'usage sur VPS Windows et hébergement Web

Netdata cible principalement Linux, mais l'approche monitoring reste valable sur d'autres environnements OmegaCloud.

Sur VPS Windows

Sur un VPS Windows OmegaCloud, Netdata s'appuie sur un agent dédié ou sur l'export des compteurs de performance. Pour un suivi natif rapide, PowerShell reste efficace côté administration :

Get-Counter '\Processor(_Total)\% Processor Time'
Get-Counter '\Memory\Available MBytes'

Ces compteurs peuvent ensuite être exposés à Netdata via son collector Windows, offrant le même dashboard unifié que sur vos machines Linux.

Sur hébergement web mutualisé

En mutualisé, vous n'avez pas d'accès root pour installer un agent. Le suivi se fait alors via les métriques exposées par le panel (usage PHP/MySQL, ressources allouées). L'Hebergement Web OmegaCloud centralise ces données sans nécessiter d'outil externe. Retrouvez d'autres guides d'exploitation sur le Blog OmegaCloud.

Conclusion

Surveiller un VPS avec Netdata donne une visibilité temps réel sans infrastructure lourde. L'essentiel tient en trois étapes : installer proprement l'agent, verrouiller l'accès au dashboard via SSH ou firewall, puis configurer des alertes adaptées à votre charge. Combiné aux clés SSH et à fail2ban, Netdata devient un pilier fiable de votre supervision quotidienne.

FAQ

Netdata consomme-t-il beaucoup de ressources sur un petit VPS ?

Non, l'empreinte reste modérée. Sur un VPS d'entrée de gamme, l'agent consomme généralement quelques pourcents de CPU et une centaine de Mo de RAM. Vous pouvez réduire encore la charge en limitant la rétention dbengine et en désactivant les collectors inutiles dans la configuration.

Faut-il exposer le port 19999 sur Internet pour accéder au dashboard ?

Non, c'est déconseillé. La meilleure pratique consiste à forcer Netdata à écouter sur 127.0.0.1 puis à accéder au dashboard via un tunnel SSH. Si un accès distant est indispensable, restreignez le port à des IP précises avec ufw ou nftables.

Netdata protège-t-il mon VPS contre les attaques DDoS ?

Non, Netdata est un outil d'observation, pas de défense. Il permet de repérer un trafic anormal, mais la mitigation DDoS volumétrique est assurée en amont au niveau kernel par l'infrastructure OmegaCloud, de façon transparente et incluse par défaut.