Configuration Ubiquiti EDGEMAX ER-X

[Jeff777]

 

Ah tu vas trop vite et tu viens d'effacer le très lonnnnnnnng message que j'allais t'envoyer. 😁

Bon en résumé. oui j'ai lu sur le VLAN100 et VLAN836 je vais m'attaquer à cela en essayant de filtrer les flux sur les interfaces car effectivement un câble éthernet qui traverse la maison c'est pas top !

Par contre avec ce câble (ma config 1) tout fonctionne mis à part IPV6.

Mais je veux commencer par l'IPV6 tout en gardant la config 1 car je suis persuadé que dans la config 2  je récupère l'IPV6 par le réseau CPL. (j'utilise aussi le test https://test-ipv6.com/ et le test https://ipv6-test.com/ et tous les deux sont négatifs en config1 et positif en config 2). Ce qui veut dire que l'IPV6 passe par le switch du routeur sans arriver par la patte WAN. 

il y a une heure, dd5992 a dit :

Firewall ? As tu essayé de le désactiver un instant complétement pour voir ?

il est désactivé dans mes essais et je ne vois rien venir.

En résumé mon plan d"attaque c'est :

résoudre le transfert de l'IPV6 par le routeur en config 1

Séparer les flux V100 V386 et vérifier que je n'ai plus l'IPV6 mode 2 avec ma config soft actuelle.

Puis combiner les deux pour avoir une installation propre.

 

 

[dd5992]

il y a 5 minutes, Jeff777 a dit :

Mais je veux commencer par l'IPV6 tout en gardant la config 1

Je suis d'accord. La config 1 semble être la bonne cible.

Peux tu regarder quelles IPV6 en 2a01:... sont affectées aux PCs et NAS ? et en particulier la fin du préfixe (30, 31 ou autre) ?

sur PC : ipconfig dans cmd

pour les NAS : Panneau de config / Réseau / Interface réseau / LAN 1 / Double clic

[Jeff777]

il y a 4 minutes, dd5992 a dit :

Peux tu regarder quelles IPV6 en 2a01:... sont affectées aux PCs et NAS ? et en particulier la fin du préfixe (30, 31 ou autre) ?

Par MP

[dd5992]

Bon, sur tes MP, je ne vois que des adresses en fe80:... donc en effet non routables. Dans ma config, j'obtiens EN PLUS une (NAS) ou des (PCs) adresses qui commencent par 2a01:... qui elles sont routables. Le problème est donc dans la configuration du routeur.

Il faut lui indiquer le préfixe pour qu'il le diffuse au réseau et que chacun s'affecte une adresse complète (en 2a01:...31:...) pour le mode stateless ou sans état.

Tant qu'on n'a pas ça, rien à espérer.

Modifié le 29 mars 2020 par dd5992

[Jeff777]

il y a 6 minutes, dd5992 a dit :

Bon, sur tes MP, je ne vois que des adresses en fe80:... donc en effet non routables.

Bien vu je n'avais pas fait gaffe. Une bonne piste !Mais en fait j'ai bien les préfixes 'par MP)

[dd5992]

Je vois bien l'adresse dans le routeur, mais visiblement ce n'est pas transmis.

Note : les adresses locales et routables sont très différentes.

Il faudrait voir si on a bien un préfixe et si le mode de propagation est bien "sans état"

Désolé, je dois faire une pause. Interruption familiale prioritaire.

[Jeff777]

il y a une heure, dd5992 a dit :

Je reprends tes précisions de ce matin. tes deux cas sont-ils bien ceux là ?

non, comme cela:

J'ai fait quelques lignes ondulées pour le réseau électrique mais en fait tous les CPL sont liés entre eux par le réseau électrique

 

 

Modifié le 29 mars 2020 par Jeff777

[Jeff777]

il y a 15 minutes, dd5992 a dit :

les adresses locales et routables sont très différentes.

Je ne suis pas d'accord regarde le tuto que nous avions fait ensemble, l'adresse IPV6 du NAS 2 qui est déclarée sur mon domaine est bien l'adresse IPV6 basée sur l'adresse locale.

Je fais une pose 😉

[dd5992]

il y a 18 minutes, Jeff777 a dit :

Je ne suis pas d'accord regarde le tuto que nous avions fait ensemble, l'adresse IPV6 du NAS 2 qui est déclarée sur mon domaine est bien l'adresse IPV6 basée sur l'adresse locale.

Rectification : Tu as raison. Il y a plusieurs mode de "fabrication" des adresses IPV6. Celle que tu mentionnes est utilisée par nos NAS ; elle est basée sur l'adresse MAC, comme l'adresse locale, qui a donc la même fin (4 derniers segments).

Par contre sur les PC c'est un autre mode qui est utilisé par défaut (car sinon elles peuvent être devinées avec l'adresse MAC, ce qui est considéré comme un risque d'intrusion).

En tout état de cause, c'est l'équipement terminal qui décide (en mode sans état) de son adresse IPV6 routable avec le préfixe diffusé par le routeur. Il faut donc configurer celui ci pour qu'il diffuse le préfixe et reçoive l'adresse choisie par chacun des équipements.

J'ai du mal à te dire comment sans avoir ton type de routeur.

[Jeff777]

il y a 31 minutes, dd5992 a dit :

Par contre sur les PC c'est un autre mode qui est utilisé par défaut

ça c'est Windows qui l'a décidé car avec Androîd ce n'est pas le cas.

Mais, dans Windows on peut désactiver cette distribution aléatoire des adresses IPV6 (c'est mon cas) par la commande :

"netsh interface ipv6 set global randomizeidentifiers = disabled"          et la réactiver avec "enabled".

Je trouve que le risque est minimum car pour connaître cette adresse il faut : 1/connaître l'adresse MA C du périphérique auquel on veut se connecter et 2/connaître le préfixe du réseau auquel appartient ce périphériques (et 3/ne pas faire d'erreur en convertissant l'adresse MAC 😁)

Alors on se dit que des cadors peuvent surveiller les échanges du réseau et s'emparer de l'adresse IPV6. C'est peut-être là qu'intervient l'adresse temporaire que l'on peut voir par l'ipconfig. Cette adresse a un bail limité dans le temps.. Tout cela me dépasse beaucoup.

Mais ici les explications et tu comprendras pourquoi j'ai désactivé la commande ci-dessus pour la redondance entre mes deux NAS.

https://andatche.com/articles/2012/02/disabling-rfc4941-ipv6-privacy-extensions-in-windows/

 

 

il y a une heure, dd5992 a dit :

J'ai du mal à te dire comment sans avoir ton type de routeur.

C'est dans le titre du post 

[Jeff777]

Le 28/03/2020 à 12:25, dd5992 a dit :

l'IPV6 passe par le routeur car il n'y a pas d'autre chemin possible.

Et bien si (désolé 😉). Comme j'ai fait de mulriple config dans le routeur sans pouvoir transmettre l'IPV6, j'ai finalement by-passé le routeur avec un câble éthernet entre le port2 de la Freebox et eth3 du routeur et je récupère l'IPV6 (avec préfixe du premier hop). Cette fois-ci sans perturbation du réseau de la config2.

Donc pas étonnant qu'avec le maillage CPL et la TV branchée sur la box en CPL on récupère aussi l'IPV6.

Bon sinon j'ai suivi le conseil de Mic et j'ai trouvé ceci:

https://community.ui.com/questions/Problem-to-implement-IPV6-from-a-Freebox-on-UNIFI-controller/82359f0d-adb7-4ede-bd92-1d45e1368111

Mais le routeur est différent du mien. J'ai essayé plusieurs config basée sur ce post sans succès. J'ai donc posté dans ce forum en espérant que l'auteur pourra me répondre.

 

 

[dd5992]

Bien sûr, si tu crées des chemins de traverse, ça y passe 🤥, mais ce n'est pas du tout canonique et tu peux t'attendre à des problèmes 🙃.

sinon, dans ta config2 par CPL, je ne vois pas par où ça passe.y a-t-il aussi un CPL branché sur la Freebox server?

[Jeff777]

il y a 23 minutes, dd5992 a dit :

je ne vois pas par où ça passe.y a-t-il aussi un CPL branché sur la Freebox server?

Oui. Dans la config 2.

Bon on est d'accord.

La TV pour l'instant je fonctionne avec la TNT, ça attendra. L'IPV6 c'est plus génant.

[Mic13710]

Je suis ça de près car sur l'IPV6, je suis sec. Je suis toujours en IPV4 qui fonctionne très bien. Aussi j'hésite à basculer et devoir faire des manips sur mon routeur sur des paramétrages que je ne maitrise pas par méconnaissance du fonctionnement de l'IPV6.

[Jeff777]

Je viens de voir ceci et ce n'est pas très simple :

http://irp.nain-t.net/doku.php/075ipv6:070_bridge

 

La conséquence de cette méthode n'est pas si évidente que ça, mais elle mérite d'être assimilée correctement : la Freebox, même placée en mode «bridge», ce qui est effectif pour l'IPv4 reste tout de même en mode «routeur» pour l'IPv6. Elle continue en effet de maintenir le bout du tunnel 6rd.

Nous avons donc une «chose» qui agit comme un pont en IPv4, mais comme un routeur en IPv6.

ça explique bien ce que j'avais observé.

 

Modifié le 30 mars 2020 par Jeff777

[.Shad.]

Je suis également avec attention, j'arrive à obtenir une IPv6 à travers mon pfSense mais je me récolte des timeout sur les sites de test.

Je suis en prefix delegation /56 sur le WAN fourni par mon FAI, et l'interface LAN du routeur choisit un /64 parmi ceux disponibles dans le /56 dans lequel mes appareils en SLAAC s'auto-attribuent une IPv6.

Résultat chaque appareil dispose bien d'une IPv6, mais rien à faire quand je vais sur un site test IPv6 ça mouline...

Si quelqu'un a une idée je suis preneur.

[Jeff777]

Bonjour,

J'ai laissé tomber la délégation de l'IPV6 et j'ai créé le bridge V100 de @Mic13710 pour la TV et ......avec la config 2 ça fonctionne. Je m'y étais mal pris, il fallait adapter puisque je suis en bridge: remplacer la plage d'IP par "no address" .

Résultat j'ai récupéré l'IPV6 (celui de la box directement sans passer par le routeur donc toujours pas de Firewall), j'ai la TV avec toutes les fonctions Free et surtout, ce qui est nouveau c'est qu'internet est stable. Le reverse proxy fonctionne en interne il faut que je le teste en externe.

A suivre...

Edit: OK en externe aussi ☺️

Modifié le 31 mars 2020 par Jeff777

[Mic13710]

il y a une heure, Jeff777 a dit :

il fallait adapter puisque je suis en bridge: remplacer la plage d'IP par "no address" .

Curieux. Je suis aussi en bridge, mon vlan fonctionne et j'ai bien la plage des 192.168.0.0/16 renseignée.

[Jeff777]

Ah oui j'ai confondu avec dd5992. Je vais voir ce que ça donne en changeant cela.

J'ai essayé et ça ne marchait plus.Je réessaierai ce soir.

J'ai cela sur le dashboard :

et ceci sur le NAT:

Et ça fonctionne comme cela bien que au démarrage ça semble chercher son chemin.

Que faut-il que je mette dans le NAT TV free : .............192.168.0.0/64 en source et en destination l'l'IP du player (ce serait logique) ?

Dans eth0.100 et switch0.100 je crois me souvenir que l'on ne peut rien mettre c'est refusé, c'est la plage IP  de eth0 et switch.0 qui est prise. Peut-être que l'on peut préciser l'IP du player dans le switch0.100 je n'ai pas essayé. 

Modifié le 31 mars 2020 par Jeff777

[Mic13710]

Il y a 2 heures, Jeff777 a dit :

Que faut-il que je mette dans le NAT TV free : .............192.168.0.0/64 en source et en destination l'l'IP du player (ce serait logique) ?

Source oui. Pour la destination tu peux laisser vide ou mettre l'adresse du player, mais si tu ne veux pas t’embêter, tu remets la même plage que la source.

Il y a 2 heures, Jeff777 a dit :

J'ai essayé et ça ne marchait plus.Je réessaierai ce soir.

Je pense qu'on s'est mal compris. C'est sur le NAT qu'il faut spécifier la plage (vu ci-dessus). Tu devais probablement parlé au niveau configuration de l'interface où effectivement il faut mettre 'no address'

[Jeff777]

Ah mais je n'ai pas configuré l'interface br0.100  !

D'ailleurs il ne figure pas dans le Dashboard. J'aurai peut-être dû le faire avant le NAT ?

Bridge br0 dans le "config tree" branche interface/bridge et ajouter VLAN100 dans le dashboard. C'est cela ?

Je reprendrai ce soir.

Autre chose, je me suis trompé c'est 192.168.0.0/24  (et non 64) à mettre en source du NAT.

D'ailleurs ça me semble curieux car le LAN 192.168.0.0/24 n'existe plus puisque la Freebox est en  bridge.

Modifié le 31 mars 2020 par Jeff777

[.Shad.]

il y a 42 minutes, Jeff777 a dit :

D'ailleurs ça me semble curieux car le LAN 192.168.0.0/24 n'existe plus puisque la Freebox est en  bridge.

Il existe toujours, simplement pas du point de vue de ton routeur, qui bypass la freebox pour établir directement une session pppoe avec ton FAI. La freebox ne sert qu'à faire transiter le signal.
Mais pour tout autre périphérique branché sur la freebox le serveur DHCP en 192.168.0.0/24 existe toujours. Heureusement sinon chez moi je ne pourrai pas avoir le signal TV sur mes décodeurs 😛 

[Mic13710]

Oui bien sûr, c'est bien /24. Je n'avais pas vu l'erreur.

Le LAN existe bien du côté switch

Pour le bridge au niveau interface, j'en ai bien un br0.100 qui apparait dans l'interface pour le vlan, mais je ne vois pratiquement aucune activité dessus lorsque le player est en fonction. Si chez toi ça fonctionne sans, c'est peut-être que cette entrée n'est pas utile à ce niveau car déjà déclarée dans le NAT. Ca fait un bail que mon routeur a été paramétré et je ne me souviens plus très bien de toutes les manips faites à l'époque. J'en vois d'ailleurs qui avaient été faites pour des essais et qui sont  simplement désactivées.

[Jeff777]

 

Il y a 2 heures, .Shad. a dit :

Mais pour tout autre périphérique branché sur la freebox le serveur DHCP en 192.168.0.0/24 existe toujours

on peut avoir un PC avec internet branché sur la Freebox en bridge ???

Il y a 2 heures, Mic13710 a dit :

Si chez toi ça fonctionne sans,

Oui mais je n'arrive pas à savoir quelle est l'impact du réseau CPL dans ce fonctionnement. J'ai d'ailleurs coupé la liaison TV (et donc l'IPV6) car j'avais à nouveau des perturbations sur le fonctionnement d'internet.

Merci à vous deux.  Je vais reprendre des essais à la lumière de ce que vous dites et de mes lectures. Mais plus tard car mes co-confinés commencent à râler 🤣

[.Shad.]

il y a 4 minutes, Jeff777 a dit :

on peut avoir un PC avec internet branché sur la Freebox en bridge ???

En tout cas la BBox de Proximus (BE) autorise deux sessions pppoe par ligne, voir si c'est le cas aussi avec Free ? En tout cas c'est lié à ce que permet le FAI, ce n'est pas une limitation technique.

Modifié le 31 mars 2020 par .Shad.