rt2600ac Routeur wifi derrière une Livebox4 : est-ce envisageable pour toutes mes utilisations ?

[MilesTEG1]

Hello @.Shad. @oracle7 @maxou56

ça y est j'ai presque fini de configurer le bazar.
J'ai pas encore tout à fait fini de paramétrer les réservations DHCP.
J'ai paramétré les différents switchs avec les VLAN. Et j'ai du faire ces réglages là sinon depuis le bureau je ne voyais plus les switchs SALON et BOX.

Switch0 (BOX/Routeur) :

 

Switch1 : Garage

 

Switch2 : SALON

 

Et enfin, le switch3 : bureau

J'ai aussi pu faire fonctionner la box, j'ai vérifié si le flux passait bien par le port n°2 du switch0 (celui vers la box et le routeur), et dès qu'il est déconnecté, pouf, plus de TV sur le décodeur, donc les VLAN semblent bien faits ^^OUF

J'accède au routeur par deux adresses : 192.168.2.1 (logique ^^) mais aussi par 192.168.1.2, un peu comme j'accède à la livebox avec 192.168.1.1, c'est étonnant, mais ça fonctionne 😄

 

Par contre j'ai ceci encore dans la Livebox :

Pourquoi j'ai encore des trucs là dedans !!! J'ai essayé d'accéder au IP mais ça ne fonctionne pas.
Quelques minutes plus tard, un des iPhone et le Syno ont disparu.
Je me demande si c'est pas un reliquat de la connexion effectuée avant que je remodifie les VLAN du switch0... 
J'ai tenté le reboot, mais c'est encore présent.
Je verrais demain si c'est parti ou pas. Si non, je tenterais un reset d'usine la box, en espérant qu'elle ne charge pas la configuration des serveurs d'orange... (je la débrancherais du switch0). (j'ai besoin de la TV ce soir ^^)

Sinon vous avez des idées si mon hypothèses n'est pas valable ?

Il me restera demain à fixer le routeur au mur, et je pense à commander un switch manageable récent... tant pis pour le PoE 
Voilà voilà 🙂
Merci pour votre aide 🙂 

Modifié le 18 décembre 2020 par MilesTEG1
réduction de taille de certaines captures + Mise en forme

[MilesTEG1]

Ha petite question supplémentaire : vous fixeriez les IP de certains périph (Caméra IP, les switchs) en dur directement dans la config du dit périphérique ??
Pour le NAS je n'ai pas eu le choix, je n'arrivais pas à y accéder même après le reboot du NAS (j'avais bien remis le DHCP dessus...)

[oracle7]

@MilesTEG1

Bonjour,

C'est super tu avances bien !😀

Pour la box il est préférable de lui faire un reset usine. C'est indiqué dans mon TUTO de mémoire. Avant le reset, il faut tout de même faire une sauvegarde locale des paramètres de la Livebox et en même temps tu en profites pour désactiver la sauvegarde automatique sinon la Livebox reprendra automatiquement la dernière configuration qu'elle a enregistré sur les serveurs d'Orange et le reset usine aura été du coup inefficace.

Pour ma part, j'ai mis en DHCP auto tous les périphériques et j'ai fixé en dur par une réservation DHCP sur le routeur, tous ceux que j'estimais essentiels :  PC principal, NASs, switchs, caméras, imprimante, mon Tél et ma tablette. Ainsi tu constateras que l'on peut dépasser largement la limite (non avouée par Orange) d'une quinzaine de périphériques avec une @IP fixe sans que cela perturbe la gestion DHCP de la Livebox. En effet, au delà de 15, le DHCP n'en faisait qu'à sa tête et il fallait x reboots pour qu'il accepte et prenne en compte certains réglages. C'est du vécu !!!

Après tous les autres "clients" occasionnels obtiennent leur @IP par le DHCP du routeur (dans la plage définie) et n'ont accès qu'au réseau invité.

Cordialement

 Bonne soirée

oracle7😉

[MilesTEG1]

@oracle7 : tu as mis des règles dans le parefeu du RT ?

Faut que je refasses toutes les règles que j'ai mise dans le NAS ?
Actuellement je n'ai que les règles de transmission de ports qui sont automatiquement mise dans la partie parefeu.

(y a trop de réglages possible dans ce machin 😅)

 

Autre question : (j'ai pas encore regardé) y a des trucs particuliers à faire pour mettre en place le serveur VPN sur le routeur ?

Modifié le 18 décembre 2020 par MilesTEG1

[MilesTEG1]

Bon j'ai profité que ma femme soit partie se coucher pour réinitialiser la box (deux fois).
Il n'y a donc plus rien de visible dans le réseau de la LB4.
J'ai paramétré la réservation DHCP pour le routeur puis j'ai branché ce dernier et branché la LB4 sur le switch0
Mais maintenant il apparait certaines adresses MAC, sans IP associée par contre :

PC-26 correspond au routeur lui même... vu dans le réseau du routeur je pense...
PC-27 ; PC-28 PC-29 sont trois switchs

PC-30 : c'est ma station Netatmo qui est en wifi sur le routeur 😮 

PC-32 : c'est mon mac en wifi, j'ai du m'y connecter dessus.

 

Des idées sur pourquoi la lB4 voit certains éléments du réseau du routeur ?

Pour le moment tout semble bien fonctionner au-delà de ça.

[maxou56]

il y a 50 minutes, MilesTEG1 a dit :

Des idées sur pourquoi la lB4 voit certains éléments du réseau du routeur ?

il y a 50 minutes, MilesTEG1 a dit :

PC-27 ; PC-28 PC-29 sont trois switchs

Bonsoir,

Pour les switch c'est "normal" ils sont sur toutes les VLAN.

On peut pour certains modèles limiter la gestion sur une seul VLAN (management VLAN pour D-Link) et il ne seront plus visible dans la box.

 

Mais c'est pas tous le temps possible (ex: switch- 10G sur la capture), tu peux bloquer leurs accès à internet par exemple dans la box et les nommer pour te retrouver.

Comme le montre ta capture sur le DHCP, ils sont juste visibles mais ils n'ont pas d'IP.

 

Ensuite pour les autres appareils, il ne devraient pas être visibles, mais la Livebox n'ai pas très fiables.

Par exemple PC-5 est un VM qui n'est plus active depuis... 🙄

 

Modifié le 19 décembre 2020 par maxou56

[MilesTEG1]

Salut @maxou56 
Merci pour ces précisions, du coup on ne peut rien y faire sur l'apparition de certains périphériques sur la LB4...
Ce qui est étonnant c'est que le premier switch0 n'apparait pas, et que j'ai certains periph wifi qui apparaissent, et quelques autres du LAN du routeur 😕

Bref, je vais faire avec ^^ Et puis je ne vais plus vraiment aller dans l'interface de la LB4 maintenant 😉

 

[oracle7]

@MilesTEG1

Bonjour,

Il y a 11 heures, MilesTEG1 a dit :

tu as mis des règles dans le parefeu du RT ?

Faut que je refasses toutes les règles que j'ai mise dans le NAS ?
Actuellement je n'ai que les règles de transmission de ports qui sont automatiquement mise dans la partie parefeu.

OUI quelques unes, mais cela reste très limité :

Comme te l'as dit très justement @maxou56 , à l'aide des @MAC tu peux retrouver quels sont tes périphériques et les renommer dans la Livebox et voire aussi leur interdire l'accès à internet si besoin. En leur donnant un bail statique DHCP ils conservent leur nom.

Ne t'affoles pas j'ai aussi parfois des périphériques "zombies" dans la Livebox, elle est un peu bizarre par moment, mais cela n'est pas gênant.

il y a une heure, MilesTEG1 a dit :

Et puis je ne vais plus vraiment aller dans l'interface de la LB4 maintenant

Absolument !

Cordialement

oracle7😉

[MilesTEG1]

@oracle7 Les règles que tu as mise en plus dans le parefeu, tu les as mises parce que tu as des services particuliers sur le routeur qui le nécessites ?
Je n'ai pas trouver de tuto pour VPN Server Plus. Tu en connais un de bien ? (va falloir que je supprime les redirections de ports que j'ai mise pour le Serveur VPN situé sur le NAS.).

Tu as un tuto bien fait aussi pour le DNS Serveur sur le routeur ? Peut-il se cumuler avec AdGuardHome (ou pi-Hole) ?

Ha, autre question, y a -t-il un reverse proxy sur le routeur ?
 

[oracle7]

@MilesTEG1

Bonjour,

il y a 26 minutes, MilesTEG1 a dit :

Les règles que tu as mise en plus dans le parefeu, tu les as mises parce que tu as des services particuliers sur le routeur qui le nécessites ?

Oui et Non à la fois, ce sont simplement les règles nécessaires au bon fonctionnement des services concernés (NTP, SNMP, DNS, DSM, MAIL, VPN, SFTP, ....). Seul plus, concerne les ports 20, 21, 80 et 443.

TUTO VPN Plus serveur et DNS serveur : tu appliques les TUTO du forum sans changement notable. Detoutes façons ce sn les mêmes applications (avantage d'un routeur Synology !). Seul VPN Plus serveur apporte des "protocoles" supplémentaires. J'utilise par exemple Synology VPN : SSL VPN qui est hyper simple à mettre en oeuvre et il aussi son application DS VPN Plus. j'ai aussi une configuration OpenVPN que j'utilise en "secours".

Pour Pi-hole et autres Adguard je les ai très avantageusement oubliés, j'ai mis en DoH sur le routeur et périphériques concernés "NextDNS" et "YogaDNS" qui est sont ne peut plus simples à mettre en oeuvre et qui se cumule parfaitement avec DNS server sur le routeur. Voir le Post ici. C'est génial !

Pour le reverse proxy, il n'y en a pas sur le routeur. On utilise celui du NAS.

Cordialement

oracle7😉

[MilesTEG1]

Bon ben j'ai désactivé la redirection de ports pour le VPN du NAS. 
Et j'ai activé VPN Plus Server, configuré comme celui sur le NAS pour du L2TP. Les règles dans le parefeu ont été créé (tous les ports du VPN sauf PPTP sont là (j'ai pas activé le PPTP)).
Ça fonctionne bien depuis l'extérieur en passant par ma connexion 4G du smartphone.
J'accède bien à toutes les IPs du LAN, sauf celle du routeur...
Faut que je regarde pourquoi, mais là j'ai pas d'idée...

[oracle7]

@MilesTEG1

Bonjour,

il y a 16 minutes, MilesTEG1 a dit :

J'accède bien à toutes les IPs du LAN, sauf celle du routeur...
Faut que je regarde pourquoi, mais là j'ai pas d'idée...

Pour accéder au routeur de l'extérieur, il est peut-être plus simple d'utiliser l'application DSRouteur avec le reverse proxy, non ?

Cordialement

oracle7😉

[MilesTEG1]

@oracle7 Je vais quoiqu'il arrive faire un ndd pour SRM avec le reverse proxy, afin que l'application DSRouteur fonctionne depuis l'extérieur ^^

J'ai créé une règle dans le parefeu du routeur : (la ligne LAN1)

Et hop, depuis le VPN j'accède au routeur ^^ et même à la LB4 😄 

Du coup, il serait possible de faire en sorte que mes caméras de surveillance n'accède pas plus loin que le LAN via le parefeu du routeur. Faut que je tente ça ^^

[oracle7]

@MilesTEG1

Bonjour,

Peut-être une redirection dans le reserse proxy pour chaque caméra et tu associes à chaque redirection un profil d'accès qui n'autorise que le sous-réseau LAN. Du coup rien à faire dans le pare-feu.

Cordialement

oracle7😉

[MilesTEG1]

à l’instant, oracle7 a dit :

Peut-être une redirection dans le reserse proxy pour chaque caméra et tu associes à chaque redirection un profil d'accès qui n'autorise que le sous-réseau LAN. Du coup rien à faire dans le pare-feu.

Heuu, j'ai pas tout saisi...
mais je ne souhaite pas accéder aux caméras depuis l'extérieur ^^ pour ça je passe par Surveillance Station 😉
Je souhaite juste les empêcher d'accéder au net. Du coup je ne vois pas pourquoi passer par le reverseproxy ...
Ou alors j'ai vraiment rien compris à ta proposition 😅
Sinon, pour ma curiosité, c'est quoi le profil d'accès ?

@oracle7 J'ai créé cette règle :

Tu crois qu'elle est efficace ?

[oracle7]

@MilesTEG1

Bonjour,

Donc pour satisfaire ta curiosité : le profil de contrôle d'accès te permet de limiter encore plus l'utilisation d'une redirection donc d'une URL du type xxxx.ndd.tld :

Par ex, ici seuls les réseaux définis peuvent utiliser la redirection (URL) sur laquelle le profil est affecté, donc toutes requêtes qui viennent d'un autre réseau sont rejetées/ignorées. Donc pas d'accès ni d'usage possible via l'URL. Tu peut y mettre par exemple que le sous-réseau 10.0.0.0 du VPN pour que la redirection ne soit possible qu'avec la connexion VPN qui va bien. Tu me suis ? Je te laisse imaginer les possibilités que cela offre ...

Donc pour reprendre mon exemple des caméras : https;//cam1.ndd.tld:443 ----> @IPlocaleCam1 (pas de port) + profil de contrôle d'accès autorisant le VPN et là ta caméra n'est consultable de l'extérieur que si tu es connecté en VPN à ton routeur. Donc du point vue sécurité, il faut connaître l'URL, plus être capable d'établir une connexion VPN sur ton routeur. cela fait quand même beaucoup non ?

il y a 27 minutes, MilesTEG1 a dit :

mais je ne souhaite pas accéder aux caméras depuis l'extérieur ^^ pour ça je passe par Surveillance Station

OK pas de soucis. Je dirais juste qu'il peut être intéressant depuis l'extérieur d'accéder directement au logiciel de configuration de la caméra (souvent plus puissant que SS) pour le modifier si besoin. C'est juste pour cela que je te donnais l'exemple.

Cordialement

oracle7😉

[MilesTEG1]

@oracle7 Ha oui, en effet, ça peut être intéressant ^^ Là dans l'immédiat je ne vois pas d'utilisation qui nécessiterait ce genre de configuration 😉

 

il y a 1 minute, oracle7 a dit :

OK pas de soucis. Je dirais juste qu'il peut être intéressant depuis l'extérieur d'accéder directement au logiciel de configuration de la caméra (souvent plus puissant que SS) pour le modifier si besoin. C'est juste pour cela que je te donnais l'exemple.

Oui tout à fait d'accord ^^ 
Cependant, voilà mon utilisation :
Pour configurer une caméra avec le logiciel de la caméra, je me connecte au VPN (avant du NAS, maintenant de SRM), et j'accède à tout mon LAN, et donc l'application Reolink peut joindre les caméras ^^ ce qui me permet de les configurer. (Je n'utilise pas le site web des caméras, qui jusqu'à y a pas si longtemps était en flash, que je trouve moins pratique que l'application.

Edit : ha mince, ça fonctionne pas sur le smartphone via le VPN... J'ai echec de la connexion sur l'application des caméras...

 

 

[oracle7]

@MilesTEG1

Bonjour,

il y a 5 minutes, MilesTEG1 a dit :

J'ai echec de la connexion sur l'application des caméras...

Je crains dans ce cas que tu n'ai pas le choix de passer par l'application Web spécifique des caméras. L'application Reolink n'est pas une application du NAS que je saches, non ?

Cordialement

oracle7😉

[MilesTEG1]

 

@oracle7 rebonjour 🙂 

il y a 2 minutes, oracle7 a dit :

Je crains dans ce cas que tu n'ai pas le choix de passer par l'application Web spécifique des caméras. L'application Reolink n'est pas une application du NAS que je saches, non ?

 

Effectivement, l'application reolink c'est sur le smartphone ou sur les ordinateurs.
Que ce soit avec L2TP ou OpenVPN, ça ne fonctionne pas.
D'ailleurs, je constate que si je me connecte en OpenVPN je n'accède plus aux différents services hébergés sur le NAS, ni au NAS lui même... C'est comme si ça n'existait pas. Alors qu'aucun soucis avec le L2TP...

Sinon pour mes caméras, je peux aussi via le VPN L2TP accéder à leur page de config ^^

 

[maxou56]

il y a 19 minutes, MilesTEG1 a dit :

Que ce soit avec L2TP ou OpenVPN, ça ne fonctionne pas.

Bonjour,

L'application Reolink fonctionne chez moi en VPN, Il faut les configurer via leur IP et port (9000) et pas automatiquement via leurs UID. Sur mac en tous cas (pas testé sous iOS, android, windows)

Modifié le 19 décembre 2020 par maxou56

[oracle7]

@MilesTEG1

Bonjour,

Pour OpenVPN, as-tu activé "Autorisé aux clients l'accès au serveur LAN" ?

Cordialement

oracle7😉

[maxou56]

Il y a 5 heures, oracle7 a dit :

En leur donnant un bail statique DHCP ils conservent leur nom.

Ne t'affoles pas j'ai aussi parfois des périphériques "zombies" dans la Livebox, elle est un peu bizarre par moment, mais cela n'est pas gênant.

Bonjour,

Pas besoin de bail statique pour que le nom soit conservé.

Sinon cette présentation est complètement buggé 😉 (à noter que sur la pro on peut supprimer un périphériques dans ce menu, si il est connecté il revient, mais ça permet de supprimer les "zombies")

[MilesTEG1]

à l’instant, oracle7 a dit :

Pour OpenVPN, as-tu activé "Autorisé aux clients l'accès au serveur LAN" ?

oui c'est coché.

 

il y a 5 minutes, maxou56 a dit :

L'application Reolink fonctionne chez moi en VPN, Il faut les configurer via leur IP et port (9000) et pas automatiquement via leurs UID. Sur mac en tous cas (pas testé sous iOS, android, windows)

Faut que je regarde sur macOS, mais sur iOS, je n'ai pas le choix : c'est soit via un QRCode, soit via ce que l'application détecte, pas moyen de rentrer une IP...

[maxou56]

il y a 4 minutes, MilesTEG1 a dit :

Faut que je regarde sur macOS, mais sur iOS, je n'ai pas le choix : c'est soit via un QRCode, soit via ce que l'application détecte, pas moyen de rentrer une IP...

Sur mac capture faite via un VPN:

[MilesTEG1]

Ok, j'espère que ça fonctionnera avec leur nouvelle application. (quand j'ai fini mes corrections je fait une capture ^^)