Configuration Ubiquiti EDGEMAX ER-X

[Jeff777]

 

Il y a 3 heures, .Shad. a dit :

En tout cas la BBox de Proximus (BE) autorise deux sessions pppoe par ligne,

Free dégroupé c'est du PPPoA d'après : http://jelnet.free.fr/jlnt_indx.htm. Je ne crois pas que mon routeur autorise deux sessions en PPoA. 

Ce site m'a appris beaucoup notamment pour connecter un routeur sur la Freebox. En fait je suis connecté sur le DHCP de Free avec mon adresse IP   78.123.456.789/24  avec comme Gateway 78.123.456.254 et un DNS de Free.

[Jeff777]

 

 Bonjour à tous,

Un petit point sur la situation:

Voilà 3 sites qui m'ont bien servis:

Configurer un routeur avec Free  http://jelnet.free.fr/jlnt_fre2.htm

Pour avoir l'IPV6    https://utux.fr/index.php?article13/free-bridge-ipv6

Pour la TV Free    https://lafibre.info/remplacer-freebox/remplacer-sa-freebox-par-un-ubiquiti-edgerouter-poe-tv-inside/

J'ai finalement compris qu'il faut faire attention avec l'usage des plug CPL. Ceux -ci peuvent créer des connexions non voulues c'est le bazar 

Donc on va oublier ma config 2 qui est à proscrire.

On considère donc une Freebox en mode routeur ou bridge reliée au port Wan d'un edgemax ER-X.

Tous les composants du réseau sont reliés aux ports LAN de l'Edgemax avec des câbles ethernet ou des plugs CPL..

Si un second port de la Freebox (que l'on appellera port 2)  est utilisé il le sera par ethernet uniquement (on oublie donc la config 2)

J'ai réussi (pas tout à fait mais en bonne voie) à faire marcher les configs suivantes :

Box en bridge : port 2 de la box relié en éthernet au Player avec l'option bridge activée.Le Player est aussi relié au port LAN Edgemax par CPL (C'était ma config1) Tout fonctionne mais je n'ai pas l'IPV6 sur le LAN. Je n'utilise pas le VLAN 100 sur le routeur.
Box en routeur : Un pont VLAN 100 établi dans le routeur. Tout fonctionne y compris l'IPV6 à 50% (bien utilisé les conseils de @dd5992).Reste la propagation de mon ns IPV6 pas totalement effectuée.

Je vais me concentrer sur l'utilisation du pont VLAN100 pour récupérer la TV car je ne veux pas de câble traversant la maison (trop de travaux !).

A suivre.....Si vous avez des commentaires n'hésitez pas
 

[dd5992]

Le 02/04/2020 à 09:31, Jeff777 a dit :

Je vais me concentrer sur l'utilisation du pont VLAN100 pour récupérer la TV car je ne veux pas de câble traversant la maison (trop de travaux !).

La méthode que je décris plus haut est indépendante du type de routeur et donc devrait marcher chez toi, mais elle nécessite un switch qui sait gérer les VLAN...

[Jeff777]

Bonjour @dd5992

Ce matin j'ai réussi à faire fonctionner l'IPV6 (j'étais en bridge mais ça doit être faisable en routeur).

Tout fonctionne. Il me reste à tester la redondance des deux serveurs mais j'ai bon espoir. Edit :ça fonctionne

La TV Free fonctionne aussi.

 

Pour l'IPV6 : mettre la freebox en mode routeur et mettre les deux réseaux IPV6 en eth0 et switch0 ne suffit pas. Il a fallu que je bidouille un peu dans le config tree selon tes indications de  @dd5992 (merci bien).

En résumé : Freebox en mode bridge, routeur Edgemax ER-X en DMZ de la box connecté sur sa patte WAN, tous les périphériques du LAN sur le routeur (y compris Freebox Playeur). Mis à part le routeur rien d'autre n'est connecté sur les 3 ports libres de la Freebox. 

Si ça intéresse du monde je vais faire un tuto Freebox en bridge sur routeur Edgemax ER-X. Mais il me reste à peaufiner le pare-feu IPV6 car pour l'instant c'est la même passoire qu'était la box.😁

 

On peut remarquer que l'IP du routeur est différente du côté WAN et LAN  (terminent par 4c et 51)

Modifié le 4 avril 2020 par Jeff777

[dd5992]

Bravo @Jeff777

Il y a 4 heures, Jeff777 a dit :

On peut remarquer que l'IP du routeur est différente du côté WAN et LAN  (terminent par 4c et 51)

Ce sont bien les terminaisons que j'ai moi aussi (celles en 0::2 et 1::1).

Modifié le 4 avril 2020 par dd5992

[Mic13710]

Il y a 4 heures, Jeff777 a dit :

Si ça intéresse du monde je vais faire un tuto Freebox en bridge sur routeur Edgemax ER-X. Mais il me reste à peaufiner le pare-feu IPV6 car pour l'instant c'est la même passoire qu'était la box

Pour sûr que ça m'intéresse, une fois réglé la passoire IPV6 bien évidemment !

[Jeff777]

Il y a 12 heures, Mic13710 a dit :

une fois réglé la passoire IPV6 bien évidemment !

J'y suis, ça va prendre quelques jours.

[Mic13710]

Il y a 2 heures, Jeff777 a dit :

Alors comme ma config. Freebox bridge Routeur avec TV et IPV6 à l'air de bien tourner je vais continuer mon petit rapport.

T'as réussi à boucher les trous de la passoire ? En voila une nouvelle qu'elle est bonne !

Edit : réponse déplacée du sujet sur la migration CloudStation vers Drive

[Jeff777]

il y a 15 minutes, Mic13710 a dit :

T'as réussi à boucher les trous de la passoire ?

J'ai suivi les conseils de @dd5992 adaptés à mon cas.

Interdit l'accès en IPV6 depuis l'extérieur sauf à mes deux NAS sur le port 80 et 443 (sinon pas de reverse proxy) et au port 53 pour le NAS2 qui contient la zone IPV6 de mon DNS.

Avec cela les tests ipv6-test et test-ipv6 sont nickel.

J'ai autorisé le protocole icmp sauf le type5 (redirection) qui constitue une faille.

[Mic13710]

J'ai hâte d'avoir ton retour car je suis dans la même config avec 2 NAS qui peuvent faire office de serveurs DNS. Il faudrait aussi que je réactive ma zone WAN que j'ai dû abandonner suite au patacaisse de free avec les IP en fin d'année.

[Jeff777]

Après quelques jours de fonctionnement ça fonctionne assez bien. J'ai cependant la TV qui freeze de temps en temps, mais c'est sans doute dû au fait que sur le port eth1 les périphériques fonctionnent sur CPL et qu'ils sont nombreux (dont le player Free). Avec la fibre qui doit arriver chez moi cette année (ou dans 10 ans) ça devrait être mieux.

J'explique ci-dessous comment j'ai fait pour faire fonctionner IPV6 et TV Free avec une Freebox en mode bridge sur un routeur (Ubiquiti Edgemax ER-X).
Et ceci sans utiliser de liaison ethernet supplémentaire directe entre la Freebox et le Player.

Ma connaissance du routeur étant loin d'être du niveau expert vous excuserez mon vocabulaire et corrigerez mes imperfections.  Je suis preneur de toute  correction ou amélioration et en tiendrai compte. Merci 😉 .

Bien sûr , n'étant pas un expert, je ne serais être tenu responsable si malgré ma vigilance une erreur s'était glissée dans ce descriptif. Vous le suivez à vos risques et périls.🤪🙃
J'espère que je n'ai rien oublié.

Configuration routeur ER-X et  Freebox en mode bridge:
Utiliser le wizard Basic setup et le renseigner comme ceci, c'est l'option par défaut (téléchargez et sauvegardez la configuration du routeur à chaque étape clé dans Système)  :

 

apply

On reboot le routeur : system/restart puis on configure la box en mode bridge :
Dans l'interface client de Free (free.fr) désactivez routeur et DHCP :

Sauvegardez les paramètres
 

Arrêter Box et routeur. 
Connectez le routeur entre la box et le port WAN (eth0). Seul le routeur sera connecté sur la box.
Tous les équipements branchés sur les autres ports de la Freebox seront branchés sur les ports eth1 à 4 du routeur.
Redémarrez la box puis le routeur.(je reconnecte le routeur sur la box qu'une fois que celle-ci a complètement terminé sa séquence de démarrage mais je ne sais pas si c'est nécessaire)

Depuis le PC on peut accéder à l'interface web du routeur par l'adresse IP 192.168.1.1
Dans la section port-forwarding on reconfigure les redirections vers le NAS que l'on avait sur la Freebox :

 

Dans la section DHCP (partie gauche du dashboard) on paramètre les IP fixes par le menu déroulant de Actions.
Les DNS : primaire et secondaire sont également à renseigner.

 

A partir de là, si l'on a pris soin de conserver les même IP fixes qu'auparavant  tout devrait fonctionner. Mon LAN initial étant en 192.168.0.0/24  j'ai dû reprendre beaucoup d'entrées d'adresses sur le NAS et les PC pour les convertir en 192.168.1.0/24. Bon courage !

Si tout fonctionne redémarrez box et routeur vérifier que cela fonctionne toujours et sauvegardez la config du routeur.

 

Configuration pour le Free player (TV Free)

Pour la TV j'ai suivi ce site : https://lafibre.info/remplacer-freebox/remplacer-sa-freebox-par-un-ubiquiti-edgerouter-poe-tv-inside/
On commence  sur la configuration de l'interfaces br0 dans la section "Configuration de la tv Free sur l'edgerouter".
On configure dans le CLI.
J'ai ajouté ma petite touche qui améliore la réception TV : Dans le dashboard switch0/action/VLAN on coche la case VLAN aware (enable) on laisse coché eth1 à eth4 (on ne coche surtout pas etho) et on ajoute 100 dans le vid du port connecté au player (VLAN tagué). On filtre ainsi les ports en ne distribuant le VLAN100 que sur celui qui est connecté au player.

Vérifiez que la TV Free fonctionne ainsi que toutes les options y compris l'accès internet.

Redémarrer box et routeur vérifiez et sauvegarder la configuration.

 

Configuration de l'IPV6

Dans Freebox OS (mafreebox.freebox.fr) on renseigne les deux premiers next HOP avec l'IPv6 locale du routeur côté eth0 (pour la trouver taper  "ip addr show" en SSH sur le routeur avec putty. Attention l'IP change pour chaque interface il faut bien prendre l'interface eth0 qui montre, entre autre, l'IP publique de son domaine.)

 

Dans le dashboard du routeur :

on configure eth0 (action/config) en ajoutant l'adresse du routeur avec le préfixe du premier hop  2a01:xxx:yyy:zz0::2/64.(manually define IP address)
2 car 1 est attribué  à la Freebox. On clique sur "save"

on configure switch0 de la même manière avec l'adresse du routeur côté LAN 2a01:xxx:yyy:zz1::1/64

Dans le ConfigTree on va configurer  switch/switch0 et ethernet/eth0 de la même façon :
On déploie l'arborescence ipv6 avec la flèche de gauche, on clique sur le + de "adress" on redéploie et on clique sur le + en face d'autoconf. C'est la configuration stateless de l'IPV6 qui sera employée (selon adresse MAC).
Ce que l'on vient de modifier apparaît en rouge. 
On déploie l'arborescence router-advert et en cliquant sur "préfix" on ajoute un préfixe à droite, celui du Next Hop (le premier pour eth0 et le second pour switch0.) 
Reste à renseigner un dns IPV6 récursif en double cliquant sur router-advert dans la case "name server"

On clique sur "preview" pour valider les modifications que l'on vient de faire. (Peut-être le faire après chaque modif.) Puis "apply".
On reboot le routeur : system/restart puis on redémarre la box. 

Il ne reste plus qu'à configurer le firewall IPV6 :
Dans le config tree ethernet/eth0/firewall on vérifie que les nom de firewall WAN_IN WANv6_IN WAN_LOCAL et WANv6_LOCAL sont présents.
sinon on les ajoute (in/name et ipv6-name et   local/name et ipv6-name ). Preview et apply
On les configure :
dans firewall/ipv6-name/WANv6_IN on peut activer "enable-defaut-log" et l'on rajoute les règles suivantes après les règles par défaut 10 et 20
1/si on héberge son dns il faut autoriser les requêtes entrantes sur le port 53 (tcp er udp)
Clic sur "rule" dans l'arborescence, sur "add" dans le panneau de droite, écrire 30 pour la nouvelle règle, puis "update list", puis retour dans l'arborescence pour déployer "rule". Clic sur 30 dans l'arborescence puis renseigner dans le panneau de droite "action" : accept et "protocol" : tcp. Dans description on donne un nom à cette règle. Dans l'arborescence du 30 on clic sur destination et à droite on renseigne  "address" : IPV6 du NAS_dns "port" : 53.
Autre règle pour le port udp et éventuellement pour un second NAS s'il contient aussi un dns.
2/ autoriser l'acces au proxy inverse en IPV6 sur le port 443 (éventuellement 80 si on fait de la redirection) au(x) NAS qui héberge(nt) un proxy inverse. La démarche est identique au 1/
3/Autoriser les requêtes icmpv6 sauf de type 5 (redirection).
Pour cela deux règles : 
100 "action" : reject protocol : icmpv6 et dans l'arborescence icmpv6 type : 5
101 "action" : accept protocol : icmpv6 
Et bien sûr on valide aussi souvent que possible (preview/apply).

dans firewall/ipv6-name/WANv6_LOCAL on peut activer "enable-defaut-log" et l'on rajoute les règles suivantes après les règles par défaut 10 et 20
25 et 26 j'autorise les échanges NAS1 NAS2. 
"action" : accept "protocol" : all   dans l'arborescence destination : IPV6 local NAS1 source IPV6 NAS2. L'inverse pour la règle 26
30 "action" : accept protocol : icmpv6
40 cette règle je ne l'ai pas ajoutée mais elle est apparue en cours de config :
"action" : accept   protocol :udp   description : allow dhcpv6  destination  "port" : 546  source "port" : 547

C'est fini. On reboot le routeur system/restart puis on redémarre la box. 

Bien sûr des adaptations peuvent être nécessaires en fonction de votre propre configuration.

Voilà, si tout c'est bien passé vous devriez avoir l'IPV6 et la TV Free. 

Après chaque étape : routeur en bridge, IPV6, TV (ou TV, IPV6) une pose et/ou des tests sont recommandés ainsi qu'une sauvegarde 😉

A noter que ma config avec redondance de deux NAS (tuto dans ma signature) qui fonctionne depuis un moment avec la Freebox en routeur (mais sans firewall IPV6) continue de fonctionner après l'ajout du routeur Ubiquiti.

 

Modifié le 14 avril 2020 par Jeff777

[Mic13710]

Merci Jeff777 pour ce retour.

Une première remarque

il y a 34 minutes, Jeff777 a dit :

Configuration du routeur en mode bridge:

Ce titre placé juste avant le réglage de l'ER-X est trompeur. En fait je pense que tu veux parler de la Freebox.

AMHA, tu devrais laisser le réglage de eth0 en dhcp. Ainsi, tu n'as rien à indiquer pour les infos statiques et il récupère simplement les infos wan envoyés par la freebox. C'est aussi un avantage s'il prend l'envie à Free de changer l'IP, ce qu'ils ont fait en fin d'année.

Je mettrai en pratique la suite dès que j'ai un moment.

[Jeff777]

il y a 3 minutes, Mic13710 a dit :

Configuration du routeur en mode bridge:

Ok merci c'est corrigé.

il y a 4 minutes, Mic13710 a dit :

tu devrais laisser le réglage de eth0 en dhcp.

Je regarde. D'un autre côté si l'IP change il y aura plein de modif à faire sur le NAS donc autant le savoir le plus rapidement possible non ?

[Mic13710]

Sauf erreur, si l'IP change, tu n'as que l'enregistrement A à modifier soit chez ton registar, soit sur ton serveur DNS si tu héberges ta zone WAN. Si tu fixes l'ip dans le routeur, il faudra aussi la modifier alors que le DHCP fera automatiquement le changement. Et puis c'est plus simple de sélectionner le DHCP, tout comme pour les NAS d'ailleurs pour lesquelles il suffit de réserver les adresses dans le routeur.

[Jeff777]

Ah oui. Je vais regarder ça

[firlin]

Merci @Jeff777 pour le tutos, cela donne envie (par contre je suis pas sur d’être prés pour passer tous mon réseau en IPv6 ) .(j'ai pas loin de 30 adresses IPv4)

@Mic13710 vu que tu es modo 😁,  tu peux pas épingler le tutos de montre amis svp ?

[Jeff777]

il y a 33 minutes, firlin a dit :

j'ai pas loin de 30 adresses IPv4

Bonjour @firlin

ça n'empêche pas le fonctionnement IPV4. Heureusement !

mais ça permet d'accéder les sites qui sont uniquement en ipv6 (pas très nombreux, comme celui-ci https://loopsofzen.uk/) et  de se préparer si un jour l'IPV4 est supprimé.

Autre intérêt, plus marginal, si comme moi tu as une application un peu particulière de l'IPV6.

Modifié le 10 avril 2020 par Jeff777

[Mic13710]

Il y a 2 heures, Jeff777 a dit :

Ok merci c'est corrigé.

A mon avis, il faudrait déplacer ce titre juste avant :

Il y a 3 heures, Jeff777 a dit :

Dans l'interface client de Free (free.fr) désactivez routeur et DHCP :

et à l'emplacement du premier titre mettre quelque chose comme "Réglage préliminaire du ER-X"

Il y a 1 heure, firlin a dit :

tu peux pas épingler le tutos de montre amis svp ?

Je peux le déplacer dans un nouveau sujet de la section des tutos. Je le ferai à l'occasion.

[dd5992]

Bravo @Jeff777 pour ces avancées.

Une question pourtant :

Pour la configuration IPV6 de la Freebox, je ne comprends pas la raison pour indiquer pour les deux premiers hops l'adresse locale du routeur. Cela indiquerait à la Freebox de router le traffic des deux premières tranches d'adresses (2a01:...:...30::/64 et 2a01:...:...31::/64) vers ton routeur ER-X. Normalement, dans ta config, seule la seconde tranche est supposée être routée vers le ER-X. Confirmes-tu que ça ne fonctionne pas sans remplir le premier des deux hops? Dans ce cas, qu'est-ce qui est en panne?

A moins qu'il soit utile pour le routage IPV6 vers le Freebox Player. Sais tu voir quelle(s) IPV6 est(sont) affectée(s) au Freebox Player (en ...30:: ou en ...31::)?

[Jeff777]

Bonjour dd

Ah Ah. J'attendais que tu me poses cette question. A vrai dire au début j'ai adapté cette procédure https://utux.fr/index.php?article13/free-bridge-ipv6 où il y a les deux hop de configurés. Comme ça fonctionnait je n'ai pas cherché plus loin.

Je sais qu'à un moment j'ai essayé de supprimer le premier et il y a eu un problème. Je réessaierai ce soir lorsque le réseau me sera entièrement dédié 😉

il y a 12 minutes, dd5992 a dit :

Cela indiquerait à la Freebox de router le traffic des deux premières tranches d'adresses (2a01:...:...30::/64 et 2a01:...:...31::/64) vers ton routeur ER-X.

Si tu regardes le dashboard, du côté erh0 il y a l'adresse IP globale du routeur (c'est celle que j'ai mise sur les deux hop sauf que c'est l'adresse locale) par contre du côté switch0 c'est une autre adresse et celle-ci je ne l'ai jamais configurée.

Dans l'ipconfig du routeur on la retrouve dans le switch0.  (il y en a d'ailleurs une par interface). Donc oui les deux tranches sont prises en charge par le routeur mais une par la partie WAN et l'autre par le LAN. ça tient la route ??

[dd5992]

Merci. Je ne doute pas ça fonctionne, mais j'aimerais comprendre à quoi ça peut servir. D'autant plus que le site que tu cites 😉 ne fait pas mention de la TV.

Les différents Hops existent pour pouvoir créer différents sous réseaux locaux, en mettant pour chacun un routeur de tête. Si un hop n'est pas renseigné, le sous réseau correspondant reste géré en direct par la Freebox (qui est, ne l'oublions pas, un routeur pour IPV6, même si le mode bridge est activé).

En tout cas, merci de ton aide.

[Jeff777]

il y a 11 minutes, dd5992 a dit :

D'autant plus que le site que tu cites 😉 ne fait pas mention de la TV.

Oui mais le titre fait référence à l'IPV6 et c'est bien en essayant de le faire fonctionner que j'ai utilisé ce site.

La TV c'est totalement indépendant.

il y a 11 minutes, dd5992 a dit :

qui est, ne l'oublions pas, un routeur pour IPV6, même si le mode bridge est activé

Ben justement pour que l'IPV6 fonctionne bien il faut qu'il soit géré par le routeur et non par la Freebox et c'est peut-être pour cela que le premier hop est nécessaire pour que l'IPV6 passe bien.

J'ai fait de nombreux essais et j'ai trouvé cette config qui marchait mais malheureusement ma démarche a manqué de rigueur. J'aurais dû garder une trace de tout ce qui ne fonctionnait pas.

Je ferai des essais ce soir ou demain matin en tenant compte de la remarque de Mic également.

[dd5992]

il y a 19 minutes, Jeff777 a dit :

Dans l'ipconfig du routeur on la retrouve dans le switch0.  (il y en a d'ailleurs une par interface). Donc oui les deux tranches sont prises en charge par le routeur mais une par la partie WAN et l'autre par le LAN. ça tient la route ??

Du côté WAN (erh0) l'adresse est ...30..1, c'est à dire, comme chez moi, l'adresse du routeur dans le sous-réseau directement accessible par la FBX. Le sous réseau en ...31::/64 est apparemment celui accessible en aval du ER-X. Pour le forcer, as-tu indiqué quelque part un préfixe à utiliser pour les adresses IP de ce sous réseau (par exemple 2a01:...:...31::/64) ?

[Jeff777]

Je voulais parler de l'adresse locale du routeur qui se termine par ac du côté WAN (c'est celle que j'ai mise dans les deux next hop) et par 51 côté LAN (celle-ci je l'avais vue dans l'ipconfig mais elle n'a jamais été rentrée manuellement. C'est le routeur qui l'a ajoutée.

Modifié le 10 avril 2020 par Jeff777

[dd5992]

il y a 4 minutes, Jeff777 a dit :

il y a 18 minutes, dd5992 a dit :

D'autant plus que le site que tu cites 😉 ne fait pas mention de la TV.

Oui mais le titre fait référence à l'IPV6 et c'est bien en essayant de le faire fonctionner que j'ai utilisé ce site.

La TV c'est totalement indépendant.

Je cherchais simplement un intérêt à enregistrer les 2 hops. Chez moi je n'ai mis que le second, mais mon player n'est pas en aval de mon routeur syno.

J'ai trouvé l'idée ici https://lafibre.info/remplacer-freebox/ipv6-avec-routeur-derriere-freebox-en-mode-routeur-help/ et on voit sur la première copie d'écran, une version précédente de la page de config IPV6 de la Freebox qui met en garde sur l'effet de renseigner le premier hop.

il y a 3 minutes, Jeff777 a dit :

C'est le routeur qui l'a ajoutée.

Cette adresse resemble bien à une adresse IPV6 générée par l'équipement terminal lui même, à partir du préfixe pour les 64 premiers bits et d'une fonction de l'adresse MAC pour les 64 derniers. C'est vérifiable car ces adresses là se terminent par "ff:fexx:xxxx", comme celles de nos synos par exemple.