J'exprime mal ma pensée. Non, je veux placer un équipement réseau entre le réseau Orange et la Livebox pour analyser les flux de la Livebox.
Or, seul mon routeur peut intégrer un module SFP permettant de réaliser la jonction avec le réseau optique Orange. Donc, je charge un
micrologiciel OpenWrt adapté pour que l'appareil se comporte comme un commutateur Ethernet (non administrable) disposant d'un module SFP.
Je suis persuadé que l'on peut convertir l'appareil ayant auparavant un rôle de routeur en un commutateur en le configurant en mode pont.
Mais il ne faut pas le rendre apparent sur l'Internet pour des raisons évidentes de sécurité. Cet appareil fait intermédiaire entre les équipements
Orange et la Livebox tout en filtrant le trafic corrélé à la Livebox afin d'être dupliqué vers ma station (mise en miroir). C'est un pare-feu transparent.
L'idée est aussi d'éviter que le trafic venant de l'extérieur parvienne au mauvais endroit. Comme par exemple être redirigé vers ma station.
Je précise que la conversion du routeur en commutateur n'est fait que pour durer temporairement, de façon ponctuelle.

En tant que novice, je comprends que tu veux l'équivalent d'un port mirroring de switch (couche 2)?
https://community.fs.com/fr/article/port-mirroring-explained-basis-configuration-and-fa-qs.html

ok j'ai compris. Tu essaies avec openwrt, de faire un switch administrable avec port mirroring.
peut etre que cette video peut t'aider :

Le routeur en mode pont (a.k.a. commutateur) est fonctionnel en définissant une adresse statique à l'interface du pont. Les adresses MAC peuvent être différentes ou identiques, peu importe.

Il ne reste plus qu'à savoir s'il faudrait définir une nouvelle interface : wan.

Remarque : On retrouve malgré tout une adresse locale au lien.

root@OpenWrt:~# ip addr show
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1504 qdisc mq state UP qlen 1000
    link/ether 5a:93:27:5b:bc:ee brd ff:ff:ff:ff:ff:ff
    inet6 fe80::5c93:27ff:fe5b:bcee/64 scope link
       valid_lft forever preferred_lft forever
3: eth1: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc mq master switch state DOWN qlen 1000
    link/ether aa:29:34:93:94:2c brd ff:ff:ff:ff:ff:ff
4: wan@eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master switch state UP qlen 1000
    link/ether 5a:93:27:5b:bc:ee brd ff:ff:ff:ff:ff:ff
5: lan1@eth0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue master switch state LOWERLAYERDOWN qlen 1000
    link/ether 5a:93:27:5b:bc:ee brd ff:ff:ff:ff:ff:ff
6: lan2@eth0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue master switch state LOWERLAYERDOWN qlen 1000
    link/ether 5a:93:27:5b:bc:ee brd ff:ff:ff:ff:ff:ff
7: lan3@eth0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue master switch state LOWERLAYERDOWN qlen 1000
    link/ether 5a:93:27:5b:bc:ee brd ff:ff:ff:ff:ff:ff
8: lan4@eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue master switch state UP qlen 1000
    link/ether 5a:93:27:5b:bc:ee brd ff:ff:ff:ff:ff:ff
9: sfp2@eth0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue master switch state LOWERLAYERDOWN qlen 1000
    link/ether 5a:93:27:5b:bc:ee brd ff:ff:ff:ff:ff:ff
10: wlan0: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN qlen 1000
    link/ether 34:4f:43:62:70:00 brd ff:ff:ff:ff:ff:ff
11: wlan1: <BROADCAST,MULTICAST> mtu 1500 qdisc noop state DOWN qlen 1000
    link/ether 34:4f:43:62:70:00 brd ff:ff:ff:ff:ff:ff
12: switch: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc noqueue state UP qlen 1000
    link/ether 5a:93:27:5b:bc:ee brd ff:ff:ff:ff:ff:ff
    inet6 fe80::5c93:27ff:fe5b:bcee/64 scope link
       valid_lft forever preferred_lft forever

Remarque : Il semble que l'on puisse désactiver IPv6 en ajoutant les lignes suivantes dans le fichier /etc/sysctl.conf.

# Defaults are configured in /etc/sysctl.d/* and can be customized in this file
net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1

Au démarrage, j'observe que l'interface eth0 génère une IPv6 locale au lien. L'utilisation de la commande sysctl -p semble déclencher instantanément « l'effacement de l'adresse ».
Il m'a aussi semblé qu'elle disparaissait automatiquement passé un certain délai (à vérifier). Lorsque je redémarre l'appareil, cela reconfigure une IPv6 locale au lien (le cycle se répète).

# Defaults are configured in /etc/sysctl.d/* and can be customized in this file
net.ipv6.conf.switch.disable_ipv6 = 1

En désactivant explicitement l'interface du pont (que j'ai dénommée switch), l'interface eth0 continue de génèrer une adresse locale au lien. Toutefois, l'appareil ne répond plus au requête ICMPv6 echo.
Je ne capte pas tout ; mais cela me convient parfaitement pour le moment : l'interface du pont n'a pas d'adresse IP et l'appareil semble être transparent sur le réseau.

@ppn_sd :

C'est le concept de pont filtrant ou pare-feu transparent (bridge firewall).

The following example shows how to deploy a stateful bridge firewall, this assumes the bridge interface has no IP address.

Source : Bridge filtering (nftables.org)

Un pont filtrant est un équipement réseau. Le pont filtrant est un pont, donc il fonctionne en couche 2 du modèle OSI (liaison de données).
Il a la possibilité de filtrer les trames en se basant sur des caractéristiques de la trame tel que MAC Address source ou destination,
type de protocole de niveau 3 transporté, longueur de la trame. Il peut être invisible au niveau 3 car il peut ne pas être administrable
via IP.

Source : Pont filtrant (article Wikipédia)

@ppn_sd :

Mon pont n'aura pas d'adresse IP. Je peux l'administrer par son interface UART via un adaptateur USB vers TTL.

Note : Actuellement, je n'ai pas intégré le pare-feu OpenWrt firewall4 dans l'image du micrologiciel par simplicité.

#!/bin/sh /etc/rc.common

START=19

start() {
        nft -f /etc/nftables.conf
}

stop() {
        nft flush ruleset
}

flush ruleset

table bridge filter {
    chain forward {
        type filter hook forward priority filter; policy drop;
        ether type ip tcp dport 22 drop
        ether type arp accept
    }
}

Il faut que je teste. L'objectif sera à terme de pouvoir dupliquer le trafic de la Livebox et bloquer le trafic relatif à ma station ne provenant pas du port lié à la Livebox et allant au port SFP.