Configuration Ubiquiti EDGEMAX ER-X

[Jeff777]

Bonjour la communauté,

J'espère que vous allez tous bien.

Il y a 2 semaines j'ai fait l'acquisition d'un routeur (voir titre) et depuis le début du confinement j'essaie de nombreuses configs avec plus ou moins de succès.

Mon objectif est de mettre ce routeur derrière ma freebox V6 ADSL en bridge et de retrouver un fonctionnement identique à ma précédente config (Internet, DNS serveur, VPN serveur, reverse proxy, TV; IPV6)

Ma situation présente qui marchouille avec internet est la suivante :

Freebox en bridge avec le second nexthop de l'IPV6 renseigné avec l'adresse locale IPV6 du routeur .

ER-X configuré avec le wizard "basic setup"  IP statique (78.xxx.xxx.xxx.xxx/24; 78.xxx.xxx.254, 212.27.40.240). Le reste des paramètres laissés par défaut.

Port forwarding :    wan:eth0  LAN switch0  rules : 53, 80, 443 vers IP local NAS pour tout protocole.

Edit : Les IP fixes configurées, DNS1 et 2 ceux de free, domaine : mondomaine

Port eth0 relié à la box, les autres aux PC et NAS.

Avec ceci Internet fonctionne à peu près.

Le reverse proxy ne fonctionne pas mais j'atteins mon NAS ou les applis avec IPlocale:port en non sécurisé.

Si un membre qui a une config identique à la mienne qui fonctionne pouvait me renseigner sur les paramétrage pour retrouver tous mes services se serai top 🙂

 

Modifié le 26 mars 2020 par Jeff777

[firlin]

Bonjour Jeff777,

Sans faire de délation @Fenrir connait bien ces petite bêtes, voir avec @Mic13710 aussi.

je vais suivre ce sujet car j'avais comme projet de mettre ma box en mode bridge aussi (freeBox)

[Jeff777]

Précision :

Le test zone master donne une erreur de connectivité : ns.ndd non accessible sur port 53 en UDP et TCP.

nslookup donne

avec dsm.ndd  IPlocaleNAS       l'adresse IP locale correcte du NAS mais DSM.ndd.ndd en Alias !    ce qui explique peut-être  pourquoi le reverse proxy ne fonctionne pas.

avec dsm.ndd  IPpublique   "request timed out" 

[Mic13710]

Vous hébergez votre zone DNS publique en local ?

[dd5992]

Bonjour @Jeff777

A la différence de ta config, j'ai un routeur Synology RT2600AC, mais j'ai eu des problèmes similaires sans trouver de solution en laissant la Freebox en mode bridge.

Après avoir lu des tas de choses sur le fonctionnement ou pas du mode bridge à travers les ages, et aussi les différences d'efficacité entre le mode bridge et le mode routeur, avec des avis changeants et contradictoires, j'ai essayé la configuration suivante :

• Freebox revolution en mode routeur avec comme toi le second nexthop de l'IPV6 renseigné avec l'adresse locale IPV6 du routeur
• routeur Syno dans la DMZ de le Freebox, relié à la freebox
• Seul le Freebox Player est aussi branché sur un port LAN de la Freebox server pour garder la fonction TV du Player
• Reste du réseau local entièrement connecté au routeur Syno avec l'ensemble des configs (renvois de ports, IP fixes des NAS Syno, Firewall, ...) faits sur le routeur.

Note : Je gère un DNS local sur le routeur Syno.

Attention, en IPV6, les redirections de ports par le routeur ne sont pas effectives. Le routeur transmet directement les packets venant d'Internet vers l'équipement cible sauf bien sûr si le firewall l'interdit. Il faut donc repenser les règles du firewall et n'autoriser que les accès valides. J'ai dû aussi autoriser le traffic local IPV6 et l'accès en IPV6 au NAS qui traite le reverse proxy.

Cette configuration fonctionne maintenant depuis mai 2019 sans problème. Je n'ai pas ré-essayé le mode bridge depuis l'été dernier et à cette époque là, ça ne fonctionnait pas.

J'espère que ça pourra t'aider.

Modifié le 26 mars 2020 par dd5992

[Jeff777]

il y a 19 minutes, Mic13710 a dit :

Vous hébergez votre zone DNS publique en local ?

Oui

[Mic13710]

On peut très bien passer en mode bridge et avoir le boitier TV qui fonctionne sur le routeur. C'est du VLAN100. La seule fonction restante sur la freebox est le téléphone. Tout le reste passe par le routeur. Je ne sais pas pour le RT, mais l e ER-X fait ça très bien.

[Jeff777]

Merci @Mic13710

Comment faut-il configurer le VLAN100? J'ai essayé sans succès plusieurs solutions.

 

 

[Mic13710]

Dashboard - Add Interface - Add Vlan

[dd5992]

il y a 4 minutes, Mic13710 a dit :

On peut très bien passer en mode bridge et avoir le boitier TV qui fonctionne sur le routeur. C'est du VLAN100. La seule fonction restante sur la freebox est le téléphone. Tout le reste passe par le routeur. Je ne sais pas pour le RT, mais l e ER-X fait ça très bien.

Je sais, mais je n'ai pas réussi à le faire avec le RT2600AC (et je n'ai pas trouvé d'utilisateur de ce routeur qui l'ait fait).

C'est vrai que ce n'est pas l'utilisation canonique, mais ça marche sans ralentissement (d'après SpeedTest).

[Jeff777]

OK j'avais fait cela. 

il y a 1 minute, Mic13710 a dit :

Dashboard - Add Interface - Add Vlan

OK j'ai déjà essayé cela mais c'est après que ça se corse ! J'ai mis 100 dans ID VLAN, eth0 dans interface et no address. C'est bien cela ?

Faut-il configurer un VLAN dans le switch ?

Bonjour @dd5992

il y a 31 minutes, dd5992 a dit :

Freebox revolution en mode routeur

oui j'ai essayé cela aussi.

il y a 33 minutes, dd5992 a dit :

la configuration suivante :

• Freebox revolution en mode routeur avec comme toi le second nexthop de l'IPV6 renseigné avec l'adresse locale IPV6 du routeur
• routeur Syno dans la DMZ de le Freebox, relié à la freebox
• Seul le Freebox Player est aussi branché sur un port LAN de la Freebox server pour garder la fonction TV du Player
• Reste du réseau local entièrement connecté au routeur Syno avec l'ensemble des configs (renvois de ports, IP fixes des NAS Syno, Firewall, ...) faits sur le routeur.

Note : Je gère un DNS local sur le routeur Syno.

Exactement comme cela

il y a 34 minutes, dd5992 a dit :

Attention, en IPV6, les redirections de ports par le routeur ne sont pas effectives. Le routeur transmet directement les packets venant d'Internet vers l'équipement cible sauf bien sûr si le firewall l'interdit. Il faut donc repenser les règles du firewall et n'autoriser que les accès valides. J'ai dû aussi autoriser le traffic local IPV6 et l'accès en IPV6 au NAS qui traite le reverse proxy.

ça je n'avais pas fait et comme tu le sais j'ai une config un peu exotique qui utilise l'IPV6, sur laquelle nous avions travaillé ensemble (voir le tuto dans mon adresse).

Je vais essayer de configurer le parefeu IPV6 pour voir.

[Mic13710]

Oui pour la première question. Il faut aussi un bridge

Pour créer le bridge, c'est dans le NAT de l'onglet Firewall/NAT que ça se passe. Add Source NAT rule

Outbound interface : br0.100, on valide Use masquerade pour la translation et All protocols, et on donne la plage des IP 192.168.x.0/24 dans Src Address et on enregistre.

Et en parlant de mascarade, il faut aussi créer une règle NAT pour que le port de connexion à la Freebox accepte les IP externes.

Outbound interface : eth0 (c'est celui que vous avez utilisé il me semble), là aussi on valide Use masquerade et All protocols et on enregistre.

[Jeff777]

Merci Mic je vais faire cela de suite !

Non. Ce soir ou demain matin car je ne suis pas seul sur le réseau 😁

Modifié le 26 mars 2020 par Jeff777

[Jeff777]

Bonjour,

Quelques nouvelles:

Pour le moment j'ai TV (y compris internet) et internet sur les PC qui fonctionnent en IPV4.  IPV6, DNS serveur (même la zone locale), reverse proxy ne fonctionnent pas.

Config : mode bridge pour la box, le routeur sur adresse fixe, La TV avec l'option freebox en bridge(dans système). Pas de VLAN (je suis en ADSL est-ce la raison ?).

La box sur la patte WAN du routeur. La freebox player en direct sur la box (CPL remplacé par câble éthernet)

Les PC les NAS sur les ports routeur.

Je précise la freebox player en direct car avant cette config j'avais gardé le CPL qui connectait à l'origine un PC et la FPlayer sur la box. La TV était donc reliée à la fois sur le switch du routeur et en direct sur la freebox.

Là tout fonctionnait car je récupérais l'IPV6 !

Je pense que je récupère l'IPV6 sur le réseau au niveau de la Freebox. En effet j'avais fait des essais avec la box en mode routeur et tout fonctionnait bien qu'instable (EDIT: instabilité probablement suite à un essai de changement de DNS dans le DHCP serveur LAN)  , j'avais mes équipements en IPV4 sur le LAN du routeur (192.168.1.x) et ceux en IPV6 sur le LAN de la freebox car je les voyaient sur Freebox OS avec leur adresse IPV6 et pas celle en IPV4.

Ma conclusion est que je n'arrive pas à transférer les adresses IPV6 vers le routeur. J'ai mis le firewall IPV6 sur accept dans firewall policy, j'ai bien configuré le second next hop de la box avec l'adresse locale IPV6 du routeur (j'en ai d'ailleurs trouvé deux que j'ai essayés !).

 

 

 

 

Modifié le 28 mars 2020 par Jeff777

[Mic13710]

Je suis moi aussi en adsl, et le VLAN fonctionne très bien. Je ne vois pas d'ailleurs comment le côté WAN pourrait impacter le VLAN. Mais je ne suis pas en IPV6 et c'est probablement une grosse différence au niveau du paramétrage du routeur. Et je suis complètement sec sur la question, désolé.

@Fenrir nous aurait dépatouillé ça en moins de deux. Il nous manque.

As tu jeté un oeil sur le seul forum dédié ? https://community.ui.com/tags/edgemax

[Jeff777]

il y a 14 minutes, Mic13710 a dit :

As tu jeté un oeil sur le seul forum dédié ? https://community.ui.com/tags/edgemax

oui, mais je n'ai pas approfondi. Je vais voir.

[dd5992]

Pour la config IPV6 sur la Freebox, il faut indiquer en 2ème NextHop l'adresse en fe80:: du routeur. Voici ma config. C'est la même en mode bridge et en mode routeur.

l'adresse IPV6 externe de la freebox devient donc (dans cet exemple) 2a01:eXX:XXX:XX81:1 et le routeur est en 2a01:eXX:XXX:XX81:2 (configuré manuellement en mode sans état). Il distribue dans ton sous réseau des adresses avec le même préfixe 2a01:eXX:XXX:XX81: construites soit à partir de l'adresse MAC, soit aléatoirement (PC). Tu peux le vérifier sur chacune de tes machines. Les adresses en fe80 ne sont pas routables, donc pas utilisables en dehors de ton réseau local. Seules celles en 2a... le sont.

Il NE FAUT PAS activer le firewall de la freebox (comme indiqué sur la capture d'écran), il est juste binaire tout ou rien. Celui du routeur doit être beaucoup plus fin.

Désolé si tu sais déjà, je ne me souviens plus exactement de ce que tu avais avant l'introduction de ton routeur.

 

Modifié le 28 mars 2020 par dd5992

[Jeff777]

Salut.

Ben oui j'ai fait tout cela. 

Le seul soucis c'est que je ne suis pas sûr de l'adresse IPV6 du routeur. J'ai fe80::xxxx:xxff:fexx:xx51 et la même avec 4c à la place du 51 je n'ai pas compris pourquoi. J'ai essayé les deux !

Toutes mes adresses IPV6 sont construites à partir de l'adresse MAC même dans les PC (on peut désactiver les adresses aléatoires en ligne de commande dans windows : netsh interface ipv6 set global randomizeidentifiers = disabled).

Le firewall IPV6 de la freebox n'est pas activé.

Comme tu es resté en mode routeur, comment es-tu certain que l'IPV6 passe vers le routeur ??

Il y a 1 heure, Jeff777 a dit :

En effet j'avais fait des essais avec la box en mode routeur et tout fonctionnait bien qu'instable (EDIT: instabilité probablement suite à un essai de changement de DNS dans le DHCP serveur LAN)  , j'avais mes équipements en IPV4 sur le LAN du routeur (192.168.1.x) et ceux en IPV6 sur le LAN de la freebox car je les voyaient sur Freebox OS avec leur adresse IPV6 et pas celle en IPV4.

 

Mon souci est que l'IPV6 ne passant pas vers le routeur ma config de redondance des NAS ne fonctionne pas. Je voulais profiter du firewall IPV6 du routeur pour la sécuriser.

Ah bonne nouvelle. J'ai retrouvé DNS serveur, le reverse proxy et le VPN. (bête erreur d'adresse dans la redirection de ports 🙄).

Il ne reste plus que l'IPV6. Le test test-ipv6.com est toujours négatif.

[dd5992]

il y a 17 minutes, Jeff777 a dit :

comment es-tu certain que l'IPV6 passe vers le routeur ??

l'IPV6 passe par le routeur car il n'y a pas d'autre chemin possible. Par contre le routeur ne fait que router, pas de NAT ou PAT donc pas de redirections de ports. tout passe comme dans une passoire. C'est pourquoi il faut mettre des règles dans le firewall pour réguler tout ça.

il y a 17 minutes, Jeff777 a dit :

Mon souci est que l'IPV6 ne passant pas vers le routeur ma config de redondance des NAS ne fonctionne pas. Je voulais profiter du firewall IPV6 du routeur pour la sécuriser

C'est ce que je voulais faire aussi.

En fait, j'ai simulé le comportement IPV4 et IPV6. Je m'explique :

Pour un accès de l'extérieur, plutôt que d'avoir des adresses pour chaque équipement (comportement natif IPV6), je n'autorise que des accès à mon NAS hébergeant le reverse proxi. C'est son adresse IPV6 à lui que j'ai mis dans l'enregistrement AAAA du DNS global de mon domaine. Mon firewall ne laisse passer que cette adresse et je restreint en plus cette adresse aux seuls ports 80 et 443.

Le seul équipement directement accessible d'internet est le NAS (même pas le routeur). Le reste est accessible à travers le reverse proxi.

Ce comportement est le même, que l'on ait configuré la freebox en bridge ou en routeur avec le routeur dans la DMZ (pour éviter de faire un double NAT pour IPV4).

[Jeff777]

Quelques précisions (F freebox, R routeur):

Config1 :

F-port1  Routeur en éthernet

F-port2 TV en éthernet

R-eth0 WAN,

R-eth1: PC2+  NAS2  via CPL,

R-eth2 PC1 en éthernet,

R-eth3 PC3 en éthernet,

R-eth4 NAS1 en éthernet

Config2

F-port1  Routeur

F-port2 via CPL

R-eth0 WAN,

R-eth1: PC2+TV +  NAS2  via CPL,

R-eth2 PC1 en éthernet,

R-eth3 PC3 en éthernet,

R-eth4 NAS1 en éthernet

Dans les deux cas la TV fonctionne et j'ai internet. Par contre je n'ai l'IPV6 que dans le cas 2 mais internet est très instable et au bout d'un moment je le perds.

Peut-être que ce pb lié à la TV pourra se résoudre avec l'usage du VLAN100. 

Mais pour le moment ma priorité c'est l'IPV6. 

J'ai donc déconnecté la TV et tout fonctionne très bien même pour les connexions de l'extérieur. Sauf que si j'arrête mon NAS N°1 le NAS N°2 ne répond pas vu que l'IPV6 ne passe pas le routeur.

 

Je me concentre donc sur ce problème : rediriger l'IPV6 vers le routeur.

Cela ne fonctionne pas, bien que j'ai renseigné correctement le second HOP dans la Freebox et coché la délégation du préfixe dans le Wizard . 

J'ai essayé plusieurs config dans le config-tree et le dashboard mais rien ne fonctionne. J'ai exploré le lien de @Mic13710 avec les mots clés  IPV6 et Freebox; je n'ai trouvé qu'une configuration avec "controller UNIFI". J'ai tenté en vain de l'appliquer.

@dd5992 peux tu me dire ce que tu as dans le Config tree au niveau de l'IPV6 et dans le dashboard (wan et lan). Je ne connais pas les équivalents dans le RT2600AC ?

Modifié le 29 mars 2020 par Jeff777

[dd5992]

Voici ma config :

1) voir quelques messages plus haut la config de ma Freebox.

2) sur le routeur :

Côté WAN :

Tu vois que la configuration est manuelle. L'adresse IP côté WAN est dans le réseau de la freebox en 2 (...80:2) la freebox étant en ...80:1.

la passerelle par défaut est l'adresse non routable de la freebox (voir en haut de la page Configuration IPV6 de Freebox OS). Note en IPV6 chaque interface réseau peut avoir de nombreuses adresses routables ou non.

Côté LAN, l'adresse de mon routeur est mise en Serveur DNS préféré car le serveur DNS local est là.

Le préfixe détermine les adresses qui seront attribuées aux équipements sur le réseau local. Dans le mode IPV6 sans état (stateless) que j'utilise, chaque équipement qui supporte l'IPV6 récupère le préfixe et choisit lui même sa (ou ses pour les PC par esemple) fin d'adresse. La plupart des équipements (les NAS par exemple) construisent cette fin à partir de leur adresse MAC.

Si la freebox était en mode bridge ce devrait être très similaire, car j'ai lu que le mode bridge état pour IPV6 un mode routeur en fait.

Voici la page de configuration des adresses IPV6 sur le réseau local :

Le préfixe est rappelé. Ce qui apparait est simplement une liste déroulante à une seule valeur.

J'ai configuré ici le mode sans état. Les deux autres modes permettent l'utilisation d'un serveur DHCPV6. J'ai désactivé DHCPV6 dans FreeboxOS.

Le système trouve les DNS dans l'écran précédent. Pas besoin de le répéter.

Côté Firewall, voici mes règles :

Je passe sous silence les règles IPV4.

La règle "FR et UK IPV6 vers nas-backup" n'autorise que le traffic externe FR et UK vers le nas-backup qui est le nas qui porte le reverse-proxy pour IPV6. (à noter que la redirection opérée par le reverse-proxi peut très bien avoir une entrée en IPV6 qui redirige vers un équipement local en IPV4.

La règle IPV6 - local vers internet m'est indispensable pour accéder internet en IPV6 à partir de mes équipements du réseau local.

Voilà. J'espère que ça t'aide.

Bonne journée.

 

Modifié le 29 mars 2020 par dd5992

[dd5992]

Après la pause de midi, j'ai repris les éléments de ton dernier message et voici peut-être quelques pistes :

Il y a 5 heures, Jeff777 a dit :

Dans les deux cas la TV fonctionne

J'ai eu des cas où la TV fonctionnait en direct, mais les infos (touche jaune) ou les indications des programmes ne voulaient rien savoir.

Explication possible : En fait la Freebox Player utilise les deux réseaux (le réseau local standard et le VLAN 100). il y a d'ailleurs une IP pour chacun. Il se peut donc que l'un d'eux seulement ne fonctionne pas.

En mode Bridge, il faut activer sur le freebox Player l'option Réglages/Système/réglages réseau/client DHCP. C'est ce qui crée la deuxième connection entre le player et le serveur.

Pour ce qui est du réseau VLAN 100, je t'ai dit que je n'ai jamais réussi à le faire passer par le routeur SYNO, mais j'ai trouvé sur le net une solution alternative qui marche. Voir ici :

https://www.g-rom.fr/2011/10/cohabitation-freebox-v6-server-en-mode-bridge-avec-freebox-player/

J'ai utilisé un routeur administrable (NETGEAR GS105E) pas cher que j'avais pour tester. Les explications qui suivent se rapportent au schéma de l'article recopié ici :

Noter que la freebox du bas est le Serveur (contrairement à l'indication).

Le lien rouge de gauche est le lien normal vers le routeur (hors VLAN100 - VLAN par défaut). Des équipements peuvent être directement liés au routeur (en blanc) ou être raccordés au switch (au centre). C'est le réseau VLAN par défaut.

Le second lien rouge traite les échanges du VLAN 100. L'entrée sur le switch doit être configurée comme VLAN 100 taggée.Le player est connecté à un port du switch qui doit être configuré comme appartenant à la fois au réseau par défaut et au réseau VLAN100 ce qui a pour effet de laisser passer les deux flux vers le Player. Les autres ports du switch sont configurés pour seulement laisser passer le réseau VLAN par défaut.

Ça marche chez moi. L’intérêt par rapport à avoir un câble direct du Serveur au Player est, selon la topologie du réseau local de diminuer le nombre de câbles, par exemple si comme chez moi le NAS principal est à côté de la TV et loin du routeur et de la freebox serveur.

 

Il y a 6 heures, Jeff777 a dit :

pour le moment ma priorité c'est l'IPV6.

Pour tester IPV6, j'utilise les liens suivants :

https://test-ipv6.com

ipv6.google.com qui est le moteur de recherche habituel, mais ne fonctionnant que s'il est appelé avec IPV6.

Il y a 6 heures, Jeff777 a dit :

Je me concentre donc sur ce problème : rediriger l'IPV6 vers le routeur.

Firewall ? As tu essayé de le désactiver un instant complétement pour voir ?

 

J'espère que ça peux t'aider.

[Jeff777]

Ah j'étais en train de te répondre. Je t'envoie la réponse sans avoir pris connaissance de ton dernier message.

 

Merci de passer du temps sur mon problème ....😊

Mis à part les interfaces qui sont différents parce que l'on a pas le même équipement pour le moment je ne vois pas de grosses différences avec ma config

Cependant je ne comprends pas la phrase suivante :

Il y a 3 heures, dd5992 a dit :

L'adresse IP côté WAN est dans le réseau de la freebox en 2 (...80:2) la freebox étant en ...80:1

 pour moi c'est le routeur qui doit être en  ::1. La freebox à une adresse qui est donnée dans la config freebox :

Ce qui est curieux c'est que cette adresse ne figure pas chez toi !

 

 

 

 

[dd5992]

Il y a 3 heures, dd5992 a dit :

L'adresse IP côté WAN est dans le réseau de la freebox en 2 (...80:2) la freebox étant en ...80:1.

Sur les routeurs, chaque côté a une adresse. Entre la freebox et le routeur, il y a un premier sous réseau (subnet) c'est celui se terminant par 30::/64 sur ta capture. Il n'est utilisé que pour les échanges entre le Freebox Server et ton routeur.

En faisant une délégation de préfixe on donne au routeur le préfixe qu'il doit utiliser pour son réseau (en aval du routeur donc). c'est celui se terminant par 31::/64 sur ta capture. C'est ce préfixe qui sera utilisé pour la config du routeur. Pour le vérifier, tu peux, à partir d'un PC lancer un appel à http://test-ipv6.com Il te donnera l'IPV6 externe (qui commencera par 2a01:). Vérifie que le préfixe se termine bien par 31 (la fin du 4ème groupe de chiffres en hexa) dans ton cas.

Sur le réseau en 30, l'adresse de la freebox est ...30::1 et celle du routeur doit être ...30::2 (je l'ai fixée en manuel - voir ma première capture routeur) ; sur le réseau en 31, l'adresse du routeur est ...31::1. La freebox n'est pas sur ce subnet, donc n'a pas d'adresse de ce type.

Les adresses en fe80:... sont des adresses dites locales et non routables.

Celle que tu montres en haut de ta capture est l'adresse que le routeur doit utiliser pour envoyer le flux vers internet. C'est la passerelle par défaut indiquée dans ma première capture de ma config de routeur.

il y a 24 minutes, Jeff777 a dit :

Ce qui est curieux c'est que cette adresse ne figure pas chez toi !

Désolé, ma capture de la config d'IPV6 dans Freebox OS était partielle. Je te la refais.

Il semble que les adresses de configuration doivent être des adresses locales. Si je mets l'adresse en 2a01:..., ça ne marche pas (chez moi).

 

[dd5992]

Je reprends tes précisions de ce matin. tes deux cas sont-ils bien ceux là ?