[TUTO] RT2600AC en DMZ derrière Livebox4

[Juan luis]

Bonjour,

Le tuto est bien fait ...mais il y a quand même quelques limitations dans ce montage.

Le wifi de la box qui n'est pas dans le même réseau.., la box TV qui peut pas lire les fichiers du NAS..

C'est quand même ballot au vu de ce que l'on paye tous les mois pour une Box.

Je suis d'accord d'ajouter un routeur pour ajouter des fonctionnalités mais je veux " le beurre et l'argent du beurre" donc ne pas perdre les fonctions de la box

Donc dans le cas d'une freebox , il y a mieux:

1 On désactive le serveur DHCP de la freebox

2 On relie la freebox au WAN du routeur (par un câble ou un switch)

3 On relie la freebox au LAN du routeur (par le même câble ou un autre câble ou un switch)

4 On branche la BOX TV ou on veut (derrière la freebox ou derrière le routeur ou un switch)

Et là tous les équipements de la maison pourront être dans le même réseau IP,  wifi de la box, wifi du routeur, ports Ethernet de la box ou du routeur:

Par exemple  freebox 192.168.1.1  WAN routeur 192.168.1.2 et  LAN  via serveur DHCP du routeur 192.168.2.0.

Par contre effectivement , ce type de montage ne convient pas si on héberge un pirate chez soi.

Un "ados geek" peut facilement  bypasser le routeur filtrant de papa / maman  juste en modifiant son adresse IP.

Modifié le 26 mars 2021 par Juan luis

[aurelp]

Bonjour,
Le tuto est bien fait ...mais il y a quand même quelques limitations dans ce montage.
Le wifi de la box qui n'est pas dans le même réseau.., la box TV qui peut pas lire les fichiers du NAS..
C'est quand même ballot au vu de ce que l'on paye tous les mois pour une Box.
Je suis d'accord d'ajouter un routeur pour ajouter des fonctionnalités mais je veux " le beurre et l'argent du beurre" donc ne pas perdre les fonctions de la box
Donc dans le cas d'une freebox , il y a mieux:
1 On désactive le serveur DHCP de la freebox
2 On relie la freebox au WAN du routeur (par un câble ou un switch)
3 On relie la freebox au LAN du routeur (par le même câble ou un autre câble ou un switch)
4 On branche la BOX TV ou on veut (derrière la freebox ou derrière le routeur ou un switch)
Et là tous les équipements de la maison pourront être dans le même réseau IP,  wifi de la box, wifi du routeur, ports Ethernet de la box ou du routeur:
Par exemple  freebox 192.168.1.1  WAN routeur 192.168.1.2 et  LAN  via serveur DHCP du routeur 192.168.2.0.
Par contre effectivement , ce type de montage ne convient pas si on héberge un pirate chez soi.
Un "ados geek" peut facilement  bypasser le routeur filtrant de papa / maman  juste en modifiant son adresse IP.

Hello
Malheureusement pas d'autre choix avec la bbox il me semble. Certains essaient de complètement by-passer la bbox mais ça n'a pas l'air de marcher très bien
- perte du tel
- perte de certaines fonctions tv replay il me semble

Pour ce qui est de la lecture des fichiers du NAS je n'ai pas de soucis pour faire fonctionner plex installé sur la box tv, qui va lire mes fichiers du NAS... Juste s'assurer que les bonnes règles sont inscrites dans le pare-feu du routeur syno pour l'ip de ta box tv.

Envoyé de mon SM-G975F en utilisant Tapatalk

[MilesTEG1]

Il y a 2 heures, Juan luis a dit :

Le wifi de la box qui n'est pas dans le même réseau.., la box TV qui peut pas lire les fichiers du NAS..

 

Oui c'est vrai, mais en même temps, les décodeurs TV sont quand même très moisi au niveau du multimédia...
Donc ce n'est pas vraiment une grosse perte (enfin pour moi).

Pour le reste du message, ben oui, mais là on parle d'une LiveBox 😉 
Mais sinon on ne perd pas toutes les fonctions de la box (faut spécifier plus précisément si tu parles de la box (modem) ou du décodeur TV).
Mais on se prive de certaines fonctionnalités pour en gagner d'autre via le routeur dédié.

C'est un choix.

[thibautd]

Salut,

J'ai le même setup et je suis tombé sur ton tuto après avoir fait exactement la même chose, merci pour le recap :-)

Petite question concernant l'IPv6: Pour avoir des adresses IPv6 sur les périphériques qui sont connectés sur le routeur Synology j'ai du mettre le configurer en mode "Relai IPv6".

Ça fonctionne mais je me pose deux questions :

1) Le firewall IPv6 de la Liveboxest-il bien désactivé car tout passe par la DMZ?

2) Si oui, je ne crois pas que le RT600AC en inclue un, ce qui veut dire que contrairement à une connexion à la Livebox, les périphériques IPv6 connectés au routeur seraient exposé sur le net ?

Merci !

[Juan luis]

Il y a 9 heures, thibautd a dit :

Salut,

J'ai le même setup et je suis tombé sur ton tuto après avoir fait exactement la même chose, merci pour le recap 🙂

Petite question concernant l'IPv6: Pour avoir des adresses IPv6 sur les périphériques qui sont connectés sur le routeur Synology j'ai du mettre le configurer en mode "Relai IPv6".

Ça fonctionne mais je me pose deux questions :

1) Le firewall IPv6 de la Liveboxest-il bien désactivé car tout passe par la DMZ?

2) Si oui, je ne crois pas que le RT600AC en inclue un, ce qui veut dire que contrairement à une connexion à la Livebox, les périphériques IPv6 connectés au routeur seraient exposé sur le net ?

Merci !

Bonjour,

En tout cas , il n'y a pas d'obligation à mettre la box en DMZ.

Elle ne va pas être plus performante , moins chauffer , ou moins consommer.

Dans le cas ou vous prévoyez "d'ouvrir" 150 ports , là c'est clair , en DMZ , vous aurez moins mal aux doigts.

[MilesTEG1]

il y a une heure, Juan luis a dit :

Bonjour,

En tout cas , il n'y a pas d'obligation à mettre la box en DMZ.

Elle ne va pas être plus performante , moins chauffer , ou moins consommer.

Dans le cas ou vous prévoyez "d'ouvrir" 150 ports , là c'est clair , en DMZ , vous aurez moins mal aux doigts.

Attention, on ne parle pas de mettre la box en DMZ, c'est le routeur qui est en DMZ de la box.
Et pour que le routeur fonctionne correctement, sans faire de double NAT, il faut le mettre en DMZ.

[Juan luis]

il y a 7 minutes, MilesTEG1 a dit :

Attention, on ne parle pas de mettre la box en DMZ, c'est le routeur qui est en DMZ de la box.
Et pour que le routeur fonctionne correctement, sans faire de double NAT, il faut le mettre en DMZ.

Ok , pour clarifier , je faisait référence à l'utilisation de la fonction DMZ de la box , qui consiste à rediriger toutes les connexions entrantes vers un équipement désigné.

Mais il me semble que ça n'a rien avoir avec la fonction NAT , qui est figée sur les box et routeurs "grand public"

[MilesTEG1]

il y a 1 minute, Juan luis a dit :

Ok , pour clarifier , je faisait référence à l'utilisation de la fonction DMZ de la box , qui consiste à rediriger toutes les connexions entrantes vers un équipement désigné.

Mais il me semble que ça n'a rien avoir avec la fonction NAT , qui est figée sur les box et routeurs "grand public"

Ce que je voulais dire, c'est que si tu ne mets pas le routeur en DMZ, tu vas devoir router tous les ports à la main sur la box, et ça c'est du NAT, non ?

[.Shad.]

Pour moi DMZ c'est très proche de double NAT, tout simplement parce que dans les deux cas c'est la box qui porte l'IP publique, pas le routeur.
La DMZ permet comme le dit @Juan luis de faciliter les redirections si on en a beaucoup.
Question que je me pose quand même, qu'en est-il du pare-feu IPv6 de la box dans le cas où on a un routeur en DMZ derrière ? (J'utilise le mode bridge de ma box donc je n'ai jamais eu à me poser la question, c'est mon routeur qui doit gérer cet aspect).

[MilesTEG1]

@oracle7 Est-ce que tu le sais toi ?

[thibautd]

Je sais que la DMZ n'est pas obligatoire, mais en l'occurence c'est bien ce que je veux. Derrière le routeur j'ai des serveurs (NAS, Citrix, etc) qui exposent des services. Du coup je ne veux pas me farcir du double NAT, la DMZ me simplifie la vie.

Concernant l'IPv6 si quelqu'un a une idée je suis preneur...

[Juan luis]

Pour préciser :Le NAT , " Network address translation" ne dépend pas de la DMZ, c'est la translation d'addresse privée en publique.

Dés l'instant que l'on  ajoute un second routeur derrière une box , on se retrouve forcement en  double NAT, à moins de configurer un des deux  "routeurs "en "bridge"

Modifié le 12 mai 2021 par Juan luis

[thibautd]

Si j'active la DMZ sur la box pour qu'elle redirige tout vers mon routeur, je n'ai pas besoin de configurer le NAT sur la box.

Du coup je comprends pas pourquoi tu dis "forcément en doule NAT", sauf si tu considères qu'activer la DMZ c'est une sorte de "NAT de tous les ports", dans ce cas la je suis daccord 🙂

[Juan luis]

Le "NAT" ne se configure pas dans une box , c'est la fonction d'un routeur pour effectuer la translation  de N adresses IP privée du LAN en une seule IP Publique.

Ce que tu configures c'est " Port Forwarding" ou le mode DMZ qui n'a rien à voir avec le NAT.

Dans une box tu as une seule adresse publique donc du NAT entre le LAN privé et le WAN en publique. Si tu ajoute un routeur RT tu vas avoir encore du NAT LAN WAN en privé privé, ce qui donne en totalité privé/privé/publique.

 

Modifié le 12 mai 2021 par Juan luis

[church]

Ok , pour clarifier , je faisait référence à l'utilisation de la fonction DMZ de la box , qui consiste à rediriger toutes les connexions entrantes vers un équipement désigné.
Mais il me semble que ça n'a rien avoir avec la fonction NAT , qui est figée sur les box et routeurs "grand public"

Je pense que tu n'as pas bien compris la fonction DMZ. Elle ne redirige rien du tout. Elle consiste plutot a exposer directement une des adresses IP du reseau local directement à Internet, sans filtrage, parefeu, NAT. L'adresse IP locale placée en DMZ n'est alors plus protégée par le parefeu de la box.

Sur un reseau à deux routeurs, l'interet de la DMZ est donc d'éviter le double NAT : le fait que certains paquets / trafics aient a franchir deux parefeux pour parvenir au bon périphérique du reseau local. En effet, en situation de double NAT, certains services peuvent dysfonctionner, carrément etre inopérants ou réclamer à la fois des redirections et des translations de ports pour que les requêtes arrivent au bon endroit.

[Juan luis]

il y a 6 minutes, church a dit :

Je pense que tu n'as pas bien compris la fonction DMZ. Elle ne redirige rien du tout. Elle consiste plutot a exposer directement une des adresses IP du reseau local directement à Internet, sans filtrage, parefeu, NAT. L'adresse IP locale placée en DMZ n'est alors plus protégée par le parefeu de la box.

Sur un reseau à deux routeurs, l'interet de la DMZ est donc d'éviter le double NAT : le fait que certains paquets / trafics aient a franchir deux parefeux pour parvenir au bon périphérique du reseau local. En effet, en situation de double NAT, certains services peuvent dysfonctionner, carrément etre inopérants ou réclamer à la fois des redirections et des translations de ports pour que les requêtes arrivent au bon endroit.
 

Je pense que vous faites une confusion, entre NAT et "PORT FORWARDING"  Mais c'est juste une remarque , il existe de multiple explications sur le NET pour ces sujets.

[church]

Je pense que vous faites une confusion, entre NAT et "PORT FORWARDING"  Mais c'est juste une remarque , il existe de multiple explications sur le NET pour ces sujets.

Je pense que tu ne maitrises définitivement pas bien ces sujets... Continue a nous rendre visite plus souvent sur les topics de cette section. Au plaisir de relire tes interventions.

[Kramlech]

Si j'en crois cet article : https://fr.wikipedia.org/wiki/Network_address_translation le "Port Forwarding" n'est qu'une partie de ce qu'on appelle globalement NAT :

Citation

NAT statique PAT (Port Address Translation du port serveur). Conjonction d'une NAT statique uni ou bidirectionnelle et d'une traduction du port serveur. Le nom PAT vient du fait que le port serveur/destination est transféré ; à ne pas confondre avec la NAT dynamique PAT. Le Port Address Translation (PAT) permet d'associer de façon statique/fixe (et non pas dynamique comme dans le NAT de base) un port TCP ou UDP sur l'interface du routeur côté Internet à un hôte interne à partir du couple d'informations : adresse IP et port TCP/UDP. On parle aussi de NAT Statique, ou de Port Forwarding. Dans le NAT statique ou PAT, le port TCP/UDP associé est fixé. Il sera le même à chaque transmission d'informations depuis l'hôte intranet vers un hôte Internet. Cela même dans le cas d'une transmission inverse. Donc si le routeur reçoit un paquet sur le port TCP/UDP indiqué, il va effectuer une translation de ce paquet pour le transmettre à l'hôte intranet et sur le port TCP/UDP de cet hôte intranet.

Il est vrai que dans le forum, quand on parle de NAT, on évoque le plus souvent le Port Forwarding ...

[Juan luis]

Il y a 8 heures, church a dit :

Je pense que tu ne maitrises définitivement pas bien ces sujets... Continue a nous rendre visite plus souvent sur les topics de cette section. Au plaisir de relire tes interventions.

Bonjour,

Merci , C'est très sympa !!! . C'est effectivement bien mon intention, d'intervenir encore plus souvent😉

[Juan luis]

Il y a 8 heures, Kramlech a dit :

Si j'en crois cet article : https://fr.wikipedia.org/wiki/Network_address_translation le "Port Forwarding" n'est qu'une partie de ce qu'on appelle globalement NAT :

Il est vrai que dans le forum, quand on parle de NAT, on évoque le plus souvent le Port Forwarding ...

Bonjour,

Effectivement le "Port Forwarding" est un NAT statique d’où la confusion entre NAT statique ou dynamique.

Mais le double NAT qui peut poser problème en réseau  ne peut être évité qu'en utilisant le routeur ou la box en mode" bridge".

Il me semble que la fonction DMZ ne retire pas un NAT .

Modifié le 13 mai 2021 par Juan luis

[oracle7]

@MilesTEG1

Bonjour,

Le 12/05/2021 à 10:43, .Shad. a dit :

qu'en est-il du pare-feu IPv6 de la box dans le cas où on a un routeur en DMZ derrière ?

De ce que je sais, le pare-feu IPv6 reste actif dans ce cas précis même lorsque l'on place le pare-feu IPv4 sur faible.

C'est ce qu'indique en gras Orange sur la page de paramétrage du pare-feu de la Livebox. De toutes façon que l'on soit en DMZ ou pas, il est impossible de désactiver complétement le pare-feu IPv4 dans l'interface de la Livebox. Au mieux et a minima il peut être placé sur "faible".

Cordialement

oracle7😉

[MilesTEG1]

Ok c'est en soit rassurant 😉

Cela dit, j'ai toujours peur de cet IPv6 niveau interne... (=LAN).
Trop peur que tout puissent communiquer sans que je comprenne comment l'empêcher...

Autant pour l'internet, je comprends parfaitement la nécessité de passer en IPv6, autant pour nos LAN perso, je pense que c'est inutile.
Et j'ai pas encore trouvé un tuto, un document, pour novice qui explique simplement comment ça marche... sans que ça rentre dans les détails que je ne comprends pas.

[CenterBox]

Merci pour ce tuto impeccable.

Est-il adapatable à n'importe quel routeur ? Je possède un D-Link DSR-250N.

[oracle7]

@CenterBox

Bonjour,

1. Comme sur tout forum, il est d'usage que les nouveaux membres passent par la rubrique [PRESENTATION] pour faire la leur. Certains ici, y sont sensibles et de plus cela facilite les réponses en fonction du niveau de compétences du membre et de ses équipements. Cela dit rassures-toi il n'est pas trop tard pour bien faire ...

2. Je vais te faire une réponse de normand : pt'être ben qu'oui, pt'être ben qu'non. En fait, franchement je ne sais pas, si ton routeur dispose des mêmes fonctions que le RT2600ac de Synology, alors cela doit être possible d'adapter le TUTO (on le fait bien pour les Box, alors pourquoi pas avec le routeur. Tu peux toujours essayer, il te faudra juste faire de la gymnastique entre les écrans d'interfaces et les fonctions pour les retrouver.

Cordialement

oracle7😉

 

[CenterBox]

il y a 11 minutes, oracle7 a dit :

@CenterBox

Bonjour,

1. Comme sur tout forum, il est d'usage que les nouveaux membres passent par la rubrique [PRESENTATION] pour faire la leur. Certains ici, y sont sensibles et de plus cela facilite les réponses en fonction du niveau de compétences du membre et de ses équipements. Cela dit rassures-toi il n'est pas trop tard pour bien faire ...

    

2. Je vais te faire une réponse de normand : pt'être ben qu'oui, pt'être ben qu'non. En fait, franchement je ne sais pas, si ton routeur dispose des mêmes fonctions que le RT2600ac de Synology, alors cela doit être possible d'adapter le TUTO (on le fait bien pour les Box, alors pourquoi pas avec le routeur. Tu peux toujours essayer, il te faudra juste faire de la gymnastique entre les écrans d'interfaces et les fonctions pour les retrouver.

Cordialement

oracle7😉

 

Désolé mais pour des raisons que j'ignore j'ai fait toute cette partie protocolaire lors de mon arrivée en 2019. Je viens d'ailleurs de supprimer de vieux posts plus d'actualité.