RT2600AC derrière une Freebox Pop (IPv6) : Serveur Adguard Home ne résout plus les requêtes depuis les iPhones

[MilesTEG1]

Changement de titre pour refléter  une nouvelle problématique, liée à la migration chez free (IPv6 inside)
Lien vers la nouvelle problématique : 

Nouveau titre :
RT2600AC derrière une Freebox Pop (IPv6) : Serveur Adguard Home ne résout plus les requêtes depuis les iPhones

Titre d'origine :
RT2600AC derrière une Freebox Pop (avec app OQEE TV) : comment configurer l'IPv6 de manière sécurisée ?

 

Hello,

@oracle7
 

Je vais passer chez Free dans deux semaines, et donc je vais changer de box.
Comme ça fait un moment que je n'ai pas bricoler mon installation au niveau de la box et du routeur, je voudrais lister ici ce que je vais devoir faire pour retrouver le plus vite possible mon accès internet via la Freebox Pop.

Je sais déjà que je vais devoir demander d'entrée de jeu une IP Full-Stack, pour être tranquille.

Mais ensuite... 😄

Voilà ce que je pense faire :

• Vérifier que la Freebox Pop est bien avec un réseau différent de celui de mon routeur qui est en 192.168.2.xxx. Mais il me semble que les FB sont de base en 192.168.0.xxx, non ?
• Ensuite, désactiver l'UPNP sur la Pop.
• Faire une réservation d'IP pour le routeur en mettant son adresse MAC.
• Faire une DMZ vers cette IP (je ne maitrise pas le mode bridge, et j'ai lu qu'on perdait l'accès à la configuration de la freebox...)
• Brancher ensuite le RT sur la Pop.
• Éventuellement redémarrer le RT.

Je précise que je n'aurais pas de boitier TV, car je vais utiliser l'AppleTV 4K fourni par Free.
Donc je vais pouvoir simplifier mon installation de switchs. Il faudra que :

• je supprime le VLAN dédié au décodeurTV de la Livebox dans tous mes switchs, ce qui me libérera un port sur le switch coté TV que j'utiliserais pour l'ATV.

Est-ce que je rate quelque chose ? Un truc que je devrais faire autrement ?

Merci pour l'aide ^^

Modifié le 3 février 2022 par MilesTEG1
Ajout du lien vers la nouvelle problématique

[oracle7]

@MilesTEG1

Bonjour,

A priori, tout ce que tu décris me semble correct. Il me semble que sur la box free tu peux changer son réseau local et le fixer à 192.168.1.0/24 comme cela tu aura encore moins de modifs à faire sur le RT.

Comme tu faisais du monitoring de la LB, il te faudra si tu le souhaites basculer alors sur le TUTO de @bruno78.

Attention toute fois, je peux me tromper (d'autre te le confirmeront ou pas), mais la box free n'est-elle pas par défaut en IPv6 ? Auquel cas, tu pourrais avoir tout un travail d'adaptation des @IPv4 en IPv6, pas simple à manipuler !🥴

Je serais curieux d'avoir ton avis objectif sur la différence (à tous niveaux) entre LB et la Free box. Elles auront à mon avis toutes les deux des défauts ! 😝🤣

Cordialement

oracle7😉

 

[MilesTEG1]

il y a 26 minutes, oracle7 a dit :

Attention toute fois, je peux me tromper (d'autre te le confirmeront ou pas), mais la box free n'est-elle pas par défaut en IPv6 ? Auquel cas, tu pourrais avoir tout un travail d'adaptation des @IPv4 en IPv6, pas simple à manipuler !🥴

Heu, là tu me fais un peut peur XD

J'espère que je ne galèrerais pas...

Si elle gère toute seule l'IPv6 coté internet, je m'en fiche 🙂 car coté LAN, je n'active pas l'IPv6 ^^

il y a 27 minutes, oracle7 a dit :

Comme tu faisais du monitoring de la LB, il te faudra si tu le souhaites basculer alors sur le TUTO de @bruno78.

Ha oui je n'avais pas pensé à ça ^^ J'irais voir le tuto de @bruno78, merci 😉

il y a 28 minutes, oracle7 a dit :

Je serais curieux d'avoir ton avis objectif sur la différence (à tous niveaux) entre LB et la Free box. Elles auront à mon avis toutes les deux des défauts ! 😝🤣

Je te dirais, mais d'un point de vu firmware, ce sera déjà le jour et la nuit, j'ai pu manipuler du Freebox OS chez mes parents, et y a quand même plus de possibilités. Mais compte tenu que j'ai mon RT, ça ne me sera pas très utile ^^

Je change d'opérateur pour avoir un tarif un poil plus faible que celui que j'ai, et pour simplifier mon installation coté box (plus besoin de VLAN), car j'utiliserais l'AppleTV 😉 

[bruno78]

il y a 33 minutes, oracle7 a dit :

Attention toute fois, je peux me tromper (d'autre te le confirmeront ou pas), mais la box free n'est-elle pas par défaut en IPv6 ?

Bonjour @oracle7, @MilesTEG1

oui la box Free gère l'IPv6 et tu ne peux pas le désactiver côté WAN. Mais côté LAN, tu fais bien évidemment ce que tu veux. Et si tu ne veux pas d'IPv6 côté LAN, .... no problem ! Donc a priori pas d'adaptation à faire lors de la migration vers la FreeBox.

[MilesTEG1]

@bruno78 Ouf, tu me rassures 😅

Bon reste plus qu'à recevoir le matériel et d'attendre la déconnexion orange et la connexion free (rdv pris mardi 1er Février).

[Juan luis]

Il y a 2 heures, bruno78 a dit :

 

oui la box Free gère l'IPv6 et tu ne peux pas le désactiver côté WAN. Mais côté LAN, tu fais bien évidemment ce que tu veux. Et si tu ne veux pas d'IPv6 côté LAN, .... no problem ! Donc a priori pas d'adaptation à faire lors de la migration vers la FreeBox.

Bonjour , Cependant pour profiter des chaines free via l'application OQEE sur appleTV , il faut de l'IPV6 sur le LAN..

Modifié le 23 janvier 2022 par Juan luis

[MilesTEG1]

il y a 8 minutes, Juan luis a dit :

Bonjour , Cependant pour profiter des chaines free via l'application OKEE sur appleTV , il faut de l'IPV6 sur le LAN..

Whaaaatt ???

[Juan luis]

il y a 21 minutes, MilesTEG1 a dit :

Whaaaatt ???

L'application Free à installer sur appleTV pour voir les chaines du bouquet ( comme avec un player free) s'appelle OQEE...

Modifié le 23 janvier 2022 par Juan luis

[MilesTEG1]

@Juan luis Oui je sais ^^ Mon message était plus sur le fait qu'il fallait de l'IPv6... Tu es sûr ? Tu as une source ?
Car d'après ce que j'ai lu, on peut utiliser l'ATV et cette application n'importe où... donc depuis un endroit sans IPv6...

[Juan luis]

On peut toujours utiliser mycanal ou molotov mais pour OQEE c'est avec IP V6

 

https://assistance.oqee.tv/hc/fr/articles/4407216797201-Bénéficier-de-l-application-OQEE-sur-votre-Apple-TV-

[Kramlech]

Il y a 4 heures, MilesTEG1 a dit :

Mais il me semble que les FB sont de base en 192.168.0.xxx, non ?

Anciennement oui, mais lorsque j'ai récupéré ma POP, j'ai eu la surprise de voir qu'elle était en 192.168.1.xxx par défaut... Donc c'est le premier point à vérifier !

 

Il y a 4 heures, MilesTEG1 a dit :

Faire une réservation d'IP pour le routeur en mettant son adresse MAC.

Oui, mais vérifie que tu n'as pas imposé une IP manuellement au niveau du routeur 😜

[MilesTEG1]

il y a 3 minutes, Kramlech a dit :

Oui, mais vérifie que tu n'as pas imposé une IP manuellement au niveau du routeur 😜

Heuu, j'ai ça : 

Donc faudra que je donne la même IP ^^
Bon après au pire, ça ne devrait pas être trop compliqué de changer 😉

il y a 9 minutes, Juan luis a dit :

On peut toujours utiliser mycanal ou molotov mais pour OQEE c'est avec IP V6

 

https://assistance.oqee.tv/hc/fr/articles/4407216797201-Bénéficier-de-l-application-OQEE-sur-votre-Apple-TV-

par contre, là, ça va m'emmerder sévèrement...
Car je ne sais pas gérer de l'IPv6... 
Comment je fais pour que l'app TV de free fonctionne sur mon réseau dont je veux continuer à utiliser en ipv4 ??

 

edit : en lisant le lien que tu donnes, @Juan luis, ça ne serait pas juste pour la partie internet ? car de ce que j'avais vu sur le net sur l'interface de la freebox, ça correspond à la partie WAN, pas à la partie LAN... 
Mais je peux me tromper, auquel cas, me faudra votre aide, beaucoup d'aide 😄 

[Kramlech]

il y a 1 minute, MilesTEG1 a dit :

Donc faudra que je donne la même IP ^^

Comme on dit : boire ou conduire il faut choisir... Soit tu fixe une IP sur la box pour ton routeur, soit tu figes cette IP en dur directement sur le routeur. Faire les deux c'est ouvrir la porte à bien des questions existentielles par la suite...

Perso, je conseille toujours de fixer l'IP au niveau de la box à partir de l'adresse MAC, et de mettre le routeur en IP automatique. Comme cela aucun problème en cas de changement de matériel (comme c'est le cas ici).

[Juan luis]

il y a 15 minutes, MilesTEG1 a dit :

Comment je fais pour que l'app TV de free fonctionne sur mon réseau dont je veux continuer à utiliser en ipv4 ??

 

edit : en lisant le lien que tu donnes, @Juan luis, ça ne serait pas juste pour la partie internet ? car de ce que j'avais vu sur le net sur l'interface de la freebox, ça correspond à la partie WAN, pas à la partie LAN... 
Mais je peux me tromper, auquel cas, me faudra votre aide, beaucoup d'aide 😄 

Ça dépend des chaines que vous regardez regardez, les chaines du bouquet free on peut toujours les prendre autrement , sinon il faudra conserver votre Vlan entre box et appleTV pour avoir de l' IPV6..

[MilesTEG1]

il y a 7 minutes, Juan luis a dit :

Ça dépend des chaines que vous regardez regardez, les chaines du bouquet free on peut toujours les prendre autrement , sinon il faudra conserver votre Vlan entre box et appleTV pour avoir de l' IPV6..

Mouais mais en conservant le VLAN, j'isole l'ATV du réseau du RT, et du coup je perds le AirPlay, l'accès à mon serveur Plex (via le LAN) etc...

Du coup, me faudra activer l'IPv6... pas le choix...
Et c'est là que j'aurais besoin d'aide... surtout pour comprendre ce que je fais, et surtout pour que tout reste sécurisé...

[oracle7]

@MilesTEG1

Bonjour,

Quelque chose me dit que tu vas finir par presque regretter ta LiveBox, non ?😂🤪

Ok c'est bon je sors ...🤣

Cordialement

oracle7😉

[Jeff777]

Bonjour @MilesTEG1

Sans être un expert je vais te donner ma config. sachant que je suis loin d'être certain qu'elle soit optimisée. Mais elle fonctionne.🙂

Mon matériel:

Un freebox pop (ADSL) et un router ubiquiti en bridge (petite manip à faire sur Freebox OS : sur la config ipv6 mettre l'IPV6 local du routeur côté WAN sur les deux premiers "hop", puis dans mode réseau préciser bridge). Dans la config IPV6, je n'ai pas coché le firewall IPV6 ni  indiqué de DNS IPV6.

J'ai dû, sur le routeur, faire une manip pour que l'IPV6 passe et j'ai configuré le pare-feu IPV6 (assez compliqué mais sur ton routeur c'est peut-être plus simple). 

De plus, le port LAN du routeur utilisé pour le player freebox est marqué VID 100. Pas nécessaire j'ai supprimé

Le 23/01/2022 à 15:28, Juan luis a dit :

On peut toujours utiliser mycanal ou molotov mais pour OQEE c'est avec IP V6

Si je condamne l'IPV6 dans le routeur, effectivement je ne reçois plus la TV Free OQEE(A noter que pour ce test j'ai dû débrancher la prise d'antenne TNT sur le player sinon je passe automatiquement sur la TNT).

Le 23/01/2022 à 11:37, oracle7 a dit :

Il me semble que sur la box free tu peux changer son réseau local et le fixer à 192.168.1.0/24 comme cela tu aura encore moins de modifs à faire sur le RT

oui confirmé. Je ne sais plus quel est celui par défaut.

 

Le 23/01/2022 à 11:37, oracle7 a dit :

Attention toute fois, je peux me tromper (d'autre te le confirmeront ou pas), mais la box free n'est-elle pas par défaut en IPv6 ? Auquel cas, tu pourrais avoir tout un travail d'adaptation des @IPv4 en IPv6, pas simple à manipuler !

Ben elle fait les deux, heureusement. Maintenant on ne peut plus couper l'IPV6 qui est natif.

 

Le 23/01/2022 à 10:59, MilesTEG1 a dit :

Ensuite, désactiver l'UPNP sur la Pop.

En bridge tu n'as plus accès.

 

Le 23/01/2022 à 10:59, MilesTEG1 a dit :

je ne maitrise pas le mode bridge, et j'ai lu qu'on perdait l'accès à la configuration de la freebox..

Oui c'est sur ton routeur que tu configureras. Plus de WIFI non plus (j'utilise la borne UNIFI). Par contre le monitoring de @bruno78fonctionne toujours, mais ne sert plus à grand chose 😉

Edit : non c'est faux. Il donne les températures vitesse du ventilateur la version de firmware et j'en oublie. Mais je trouve qu'il fait beaucoup de requêtes sur Freebox OS et il faudra que je demande à Bruno comment paramétrer pour qu"il le fasse pas plus que nécessaire. 

Le 23/01/2022 à 15:45, Kramlech a dit :

Perso, je conseille toujours de fixer l'IP au niveau de la box à partir de l'adresse MAC, et de mettre le routeur en IP automatique

Oui sauf qu'avec le mode bridge ce n'est pas possible. J'ai donc toutes mes IP fixées sur le routeur.

Modifié le 4 février 2022 par Jeff777

[MilesTEG1]

Il y a 1 heure, Jeff777 a dit :

J'ai dû, sur le routeur, faire une manip pour que l'IPV6 passe et j'ai configuré le pare-feu IPV6 (assez compliqué mais sur ton routeur c'est peut-être plus simple). 

C’est bien cette partie dont j’ai peur… 

ca m’a l’air bien compliqué…

mais après si c’est juste ça à configurer et que tout le reste de mon réseau peut continuer à fonctionner en IPv4 pourquoi pas… mais comment puis je configurer de manière sûre le pare-feu ipv6 ?

 

ps : je n’aurais pas de décodeur tv freebix 😊 juste l’Apple TV .

Pps : quel est le gain à passer la box en bridge si on n’a plus accès à sa configuration ?

[MilesTEG1]

Ha autre chose, mes switch’s ne sont qu’en ipv4, ça ne poser pas de soucis ?

[bruno78]

Il y a 1 heure, Jeff777 a dit :

Par contre le monitoring de @bruno78fonctionne toujours, mais ne sert plus à grand chose 😉

Edit : non c'est faux. Il donne les températures vitesse du ventilateur la version de firmware et j'en oublie. Mais je trouve qu'il fait beaucoup de requêtes sur Freebox OS et il faudra que je demande à Bruno comment paramétrer pour qu"il le fasse pas plus que nécessaire. 

@Jeff777 oui le script fait beaucoup de requêtes, on est d'accord. Mon NAS étant par terre pour le moment je ne peux pas trop aller voir (sauf à aller prendre un backup évidemment), et cela fait un petit moment que je n'ai plus touché à ce script Freebox. Néanmoins il ne faut pas oublier les options disponibles pour ne sélectionner que les statistiques dont on a besoin.

Pour rappel :

 -S    --status-switch                        Get and show switch status
 -P    --status-ports                        Get and show switch ports stats
 -H    --status-sys                        Get and show system status
 -D    --internal-disk-usage                        Get and show internal disk usage
 -L    --lan-config                        Get and show LAN config
 -W    --wifi-usage                        Get and show wifi usage   
 -I    --lan-interfaces                        Get and show lan interfaces                                                 
 -X    --interfaces-hosts                        Get and show interfaces hosts 
 -Y    --static-dhcp                        Get and show static dhcp
 -Z    --dynamic-dhcp                        Get and show dynamic dhcp
-4    --xdsl_tunnel                        Get and show 4G/lte xdsl aggregation counters

Si nécessaire, je pourrais éventuellement essayer de refaire un tour sur ce script pour voir si il est optimisable en fonction de besoins particuliers.

Cdt, Bruno78

[Juan luis]

il y a 21 minutes, MilesTEG1 a dit :

Ha autre chose, mes switch’s ne sont qu’en ipv4, ça ne poser pas de soucis ?

Tous les switch's sont forcement transparents à l'IPv6, sinon ce serait "des routeurs".

Modifié le 23 janvier 2022 par Juan luis

[MilesTEG1]

Bon reste la configuration du parefeu IPv6.
Comment je la fais ?

[Jeff777]

il y a une heure, bruno78 a dit :

Si nécessaire, je pourrais éventuellement essayer de refaire un tour sur ce script pour voir si il est optimisable en

J'avais essayé de bidouiller qq paramètres dans la conf de telegraf sans grand succès. Je vais déjà utiliser les options indiquées pour voir. Dès que j'ai un moment je m'y mets.

 

Il y a 1 heure, MilesTEG1 a dit :

juste l’Apple TV .

là je ne peux pas aider.

il y a une heure, MilesTEG1 a dit :

Ha autre chose, mes switch’s ne sont qu’en ipv4, ça ne poser pas de soucis ?

Non j'ai un switch entre le routeur et mon PC et comme dit Juan luis ça laisse tout passer.

il y a une heure, MilesTEG1 a dit :

Bon reste la configuration du parefeu IPv6.

Je peux te dire la mienne mais comme je disais je ne suis pas certain qu'elle soit optimisée. Mais c'est intéressant de la soumettre afin de la tester.

En gros depuis l'extérieur je permets l'accès aux port 53 (tcp et udp),80 et 443 (tcp) sur les adresses IPV6 des deux nas. Je "drop" les requètes icmpv6 de type 5 (redirection) et j'accepte les autres.

En local j'accepte tout échange IPV6 entre les deux nas  et j'accepte les échanges icmpv6.

Tout ceci est issue de nombreux tests que je n'ai pas documentés. Je ne peux donc pas argumenter sur les raisons de certains paramètres. 🙄

Ce que je ne sais pas non plus c'est si le pare-feu agit aussi sur le VLAN. Ce qui est certain c'est qu'en rejetant toute requête IPV6 rentrante sur le routeur je perds la TV.

Maintenant mon pare-feu est adapté à ma config qui est peu conventionnelle (je sens que @.Shad. va encore me dire que je ne devrais pas faire cela 🤣)

[.Shad.]

Il y a 3 heures, MilesTEG1 a dit :

Ha autre chose, mes switch’s ne sont qu’en ipv4, ça ne poser pas de soucis ?

Tu confonds les couches réseau, les switchs ne voient pas les adresses IP, ils sont de la couche 2.
Pour l'IPv6, chez Proximus le FAI t'attribue un préfixe (PD = Prefix Delegation), qui correspond à un sous-réseau IPv6 à ta disposition. Chez nous c'est du /56 (/128 en IPv6 pour un réseau d'une seule IP, semblable au /32 en IPv4). Mais Proximus est en IP dual-stack, avec IPv6 natif (pas de tunnel d'encapsulation).

De là, la box va attribuer à chaque périphérique une IPv6 de lien local (portée locale uniquement), basé sur la MAC des périphériques, et une IPv6 routable (comprendre publique) permanente ainsi que souvent une temporaire, basées sur le préfixe + la mac.
C'est là l'importance d'avoir un pare-feu IPv6, car tous tes périphériques seront accessibles depuis l'extérieur, sans NAT (ON NE NAT PAS EN IPV6).

En espérant que ta box permettre de créer des règles sur le pare-feu IPv6, à défaut le RT.

Modifié le 23 janvier 2022 par .Shad.

[PiwiLAbruti]

il y a 18 minutes, .Shad. a dit :

ON NE NAT PAS EN IPV6

En règle générale, oui. Mais il existe des exceptions très spécifiques où NAT6 est bien utile.

il y a 18 minutes, .Shad. a dit :

les switchs ne voient pas les adresses IP, ils sont de la couche 2.

En règle générale, oui. Mais il existe des switches L3 et même L4 qui implémentent une grande partie des mécanismes IPv6.