Orange FTTH : remplacer une Livebox S par OPNsense + LEOX LXT-010H-D – Internet + TV + Replay

Bonjour,

Je partage ma configuration permettant de retirer complètement ma Livebox S et d'utiliser directement OPNsense derrière un ONT LEOX LXT-010H-D.

Résultat :

Internet Orange : OK
Décodeur TV Orange : OK
TV en direct : OK
Replay / VOD : OK
Mises à jour du décodeur : OK
Livebox retirée : OK

Ma configuration :

Orange FTTH
ONT : LEOX LXT-010H-D
OPNsense : 26.7.3_11
Interface fibre : igc0
VLAN Internet : 832
VLAN TV multicast : 840
Port décodeur : igc3
OLT : ALCL
Livebox : Livebox S / Livebox Nautilus

Certaines données sont propres à chaque abonnement et sont donc anonymisées ici :

VOTRE_GPON_SN
VOTRE_OPTION_90
MAC_LIVEBOX
SERIAL_LIVEBOX
VOTRE_OPTION_125


1. Récupérer les informations de la Livebox avec GO-BOX

Avant de retirer la Livebox, j'ai utilisé l'outil GO-BOX pour l'interroger et récupérer les informations nécessaires à son remplacement.

Le PC/Mac utilisé doit être connecté au réseau de la Livebox.

GO-BOX permet notamment de récupérer les informations qui serviront ensuite à configurer le LEOX et OPNsense :

- informations GPON / ONT
- MAC WAN de la Livebox
- numéro de série de la Livebox
- ProductClass
- informations nécessaires à l'authentification DHCP Orange / option 90

Dans mon cas :

ProductClass : Livebox Nautilus

Conservez toutes ces informations : elles seront utilisées pour programmer le LEOX, configurer le WAN Orange et construire l'option DHCP 125 du décodeur.

Sur macOS, si nécessaire, Git et Go peuvent être installés avec :

brew install git go

Récupérez ensuite GO-BOX depuis son dépôt GitHub et suivez les instructions du projet pour interroger votre Livebox.

Je ne mets volontairement pas ici une ligne de commande GO-BOX dont la syntaxe pourrait varier suivant la version utilisée.

Attention : ne publiez pas votre mot de passe Livebox, votre GPON_SN complet, votre option 90 complète ou les autres identifiants propres à votre accès.


2. Configurer le LEOX LXT-010H-D

Le LEOX est accessible en Telnet sur son adresse de management (configurez votre ordi en IP fixe sur une IP du réseau comme 192.168.100.10, masque 255.255.255.0):

telnet 192.168.100.1

Utilisez les identifiants correspondant à votre LEOX (par défaut : User = leox, mot de passe = leolabs_7).

La configuration présente dans la mémoire flash peut être affichée avec :

flash all

Programmez ensuite votre numéro de série GPON :

flash set GPON_SN VOTRE_GPON_SN

Puis les paramètres suivants :

flash set PON_VENDOR_ID ARLT
flash set HW_HWVER ARLTLBN100
flash set GPON_PLOAM_PASSWD DEFAULT012
flash set OMCI_TM_OPT 0
flash set OMCI_OLT_MODE 1
flash set OMCI_SW_VER1 SAHNOFR010216
flash set OMCI_SW_VER2 SAHNOFR010901
flash set OMCC_VER 128

Redémarrez ensuite le LEOX :

reboot

Dans ma configuration, le LEOX se synchronise en O5 sur un OLT Orange ALCL.


3. Interface physique Orange dans OPNsense

Dans :

Interfaces > Assignments

assignez l'interface physique reliée au LEOX :

Device : igc0
Description : Orange_Parent

Configuration :

Enable Interface : coché
IPv4 Configuration Type : None
IPv6 Configuration Type : None
MAC address : MAC WAN de la Livebox
Promiscuous mode : décoché
MTU : vide
MSS : vide
Speed and duplex : Default

Le point important est de mettre le MAC WAN de la Livebox sur le parent physique igc0.

Les VLAN enfants héritent ainsi de ce MAC.


4. VLAN Internet 832

Dans :

Interfaces > Devices > VLAN

créez :

Parent : igc0
VLAN tag : 832
VLAN priority : 0

Affectez ce VLAN à l'interface WAN.

Configuration WAN :

IPv4 Configuration Type : DHCP
MTU : 1520
MAC address : vide
Promiscuous mode : décoché

Le champ MAC reste vide sur le WAN puisque le MAC de la Livebox est porté par igc0.


5. DHCP Orange

Dans les paramètres DHCPv4 avancés du WAN :

Send Options :

dhcp-class-identifier "arcadyan",user-class "2FSVDSL_livebox.Internet.softathome.LiveboxNautilus",option-90 VOTRE_OPTION_90,dhcp-client-identifier 01:AA:BB:CC:DD:EE:FF

Remplacez :

VOTRE_OPTION_90
AA:BB:CC:DD:EE:FF

par votre option 90 et le MAC WAN de votre Livebox.

Le préfixe :

01:

du DHCP Client Identifier est volontaire.

Le "2" devant FSVDSL est également volontaire :

user-class "2FSVDSL_livebox.Internet.softathome.LiveboxNautilus"

Request Options :

subnet-mask,broadcast-address,dhcp-lease-time,dhcp-renewal-time,dhcp-rebinding-time,domain-search,routers,domain-name-servers,option-90,domain-name,option-120,option-125

Priorité DHCP :

Le VLAN 832 reste :

VLAN priority : 0

Mais dans le client DHCP WAN :

Use VLAN priority : Internetwork Control (6)

Le DHCP Orange est ainsi envoyé en PCP6.


6. TV Orange : VLAN 840

Dans ma configuration :

VLAN 832 = Internet + Replay / VOD
VLAN 840 = TV en direct / multicast

Je n'utilise pas le VLAN 838 pour la TV.

Certains anciens tutoriels Orange utilisent encore les VLAN 838 + 840, mais le 838 n'est pas nécessaire dans ma configuration actuelle.

Dans :

Interfaces > Devices > VLAN

créez :

Parent : igc0
VLAN tag : 840
VLAN priority : Voice (5)

Affectez-le ensuite à une interface :

Description : Orange_TV_840
IPv4 Configuration Type : Static IPv4
IPv4 address : 192.168.84.1/24
IPv6 Configuration Type : None
Gateway : None


7. Port dédié au décodeur Orange

J'utilise igc3 exclusivement pour le décodeur.

Dans :

Interfaces > Assignments

configuration :

Device : igc3
Description : Orange_TV_Decodeur
IPv4 Configuration Type : Static IPv4
IPv4 address : 192.168.3.1/24
IPv6 Configuration Type : None
Gateway : None


8. DHCP du décodeur

J'utilise ISC DHCPv4 sur Orange_TV_Decodeur :

Subnet : 192.168.3.0/24
Range : 192.168.3.2 - 192.168.3.254
Gateway : 192.168.3.1

DNS :
80.10.246.132
81.253.149.2

Il faut également fournir l'option DHCP 125.

Elle contient notamment les informations suivantes :

Enterprise Number : 3561
OUI : 3 premiers octets du MAC WAN Livebox
SerialNumber : numéro de série Livebox
ProductClass : Livebox Nautilus

Dans ISC DHCP :

Number : 125
Type : String
Value : VOTRE_OPTION_125

Cette valeur doit être construite avec les informations de VOTRE Livebox.

Dans mon cas, la structure utilisée pour l'option 125 est :

00:00:0d:e9
2b
04:06:XX:XX:XX:XX:XX:XX
05:0f:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX
06:10:4c:69:76:65:62:6f:78:20:4e:61:75:74:69:6c:75:73

avec :

00:00:0d:e9 = Enterprise Number 3561
04 = OUI
05 = SerialNumber
06 = ProductClass

Le ProductClass :

Livebox Nautilus

est encodé en ASCII/hexadécimal dans la dernière partie.


9. Installer et configurer IGMP Proxy

Installez le plugin :

os-igmp-proxy

Puis :

Services > IGMP Proxy

Créez l'upstream :

Interface : Orange_TV_840
Type : Upstream
Threshold : 1

Networks :
0.0.0.0/1
128.0.0.0/1

Puis le downstream :

Interface : Orange_TV_Decodeur
Type : Downstream
Threshold : 1
Network : 192.168.3.0/24

Le fichier généré ressemble à :

quickleave

phyint vlan0.840 upstream ratelimit 0 threshold 1
altnet 0.0.0.0/1
altnet 128.0.0.0/1

phyint igc3 downstream ratelimit 0 threshold 1
altnet 192.168.3.0/24


10. Firewall du VLAN 840

Dans :

Firewall > Rules > Orange_TV_840

Ajoutez une règle IGMP :

Action : Pass
Direction : In
TCP/IP Version : IPv4
Protocol : IGMP
Source : any
Destination : any
Gateway : None

Ajoutez ensuite une règle pour les flux TV :

Action : Pass
Direction : In
TCP/IP Version : IPv4
Protocol : UDP
Source : any
Destination : 232.0.0.0/8
Destination port : any
Gateway : None

POINT TRÈS IMPORTANT :

Dans les options avancées de cette règle UDP, cochez :

Allow options

Sans "Allow options", Orange envoyait bien les flux multicast sur le VLAN 840, mais PF les bloquait et le décodeur n'affichait pas l'image.

Après activation de "Allow options", l'image TV est apparue immédiatement.


11. Firewall du réseau décodeur

Le décodeur doit pouvoir accéder à Internet :

Action : Pass
TCP/IP Version : IPv4
Protocol : any
Source : Orange_TV_Decodeur net
Destination : any

J'ai personnellement placé avant cette règle des BLOCK vers mes autres VLAN afin d'isoler le décodeur du reste de mon réseau.


12. NAT

J'utilise :

Firewall > NAT > Source NAT
Hybrid Source NAT rule generation

OPNsense génère automatiquement le NAT du réseau :

192.168.3.0/24

vers le WAN.

Pas de NAT spécifique pour le multicast du VLAN 840.


13. Architecture finale

Fibre Orange
     |
LEOX LXT-010H-D
     |
     |
igc0 / Orange_Parent
MAC = MAC WAN Livebox
IPv4 = None
IPv6 = None
Promiscuous = OFF
     |
     +-----------------------------+
     |                             |
VLAN 832 PCP0                 VLAN 840 PCP5
     |                             |
WAN DHCP                      192.168.84.1/24
DHCP Orange PCP6                   |
     |                        IGMP Proxy
Internet                           |
Replay / VOD                      igc3
                                   |
                              192.168.3.1/24
                                   |
                              Décodeur Orange


14. Résultat

Avec cette configuration :

LEOX synchronisé O5 : OK
Internet IPv4 Orange : OK
Décodeur Orange : OK
Activation / mises à jour : OK
TV en direct : OK
Replay / VOD : OK
Livebox retirée : OK


15. Points importants

• Récupérer les informations de sa Livebox avec GO-BOX avant de la retirer.
• Programmer le LEOX avec les informations de son propre accès Orange.
• Dans ma configuration, OMCC_VER=128.
• Mettre le MAC WAN Livebox sur le parent igc0, pas directement sur le VLAN 832.
• VLAN 832 en PCP0 mais DHCP Orange en PCP6.
• Conserver le "2" devant FSVDSL dans le User-Class OPNsense.
• VLAN 840 en PCP5 pour le multicast TV.
• VLAN 838 non utilisé dans cette configuration.
• Option DHCP 125 nécessaire au décodeur.
• IGMP Proxy entre VLAN 840 et le réseau du décodeur.
• Activer "Allow options" sur la règle UDP multicast du VLAN 840.

En espérant que ce retour puisse servir à d'autres.

Chronologie de cette semaine côté MEO Portugal (AS8657, AS3243 résidentiel, AS42863 mobile, AS15525)

8 au 14/09 : IPinfo a tracé des leaks discrets de Ghana Telecom (AS37282, client de transit de MEO) vers MEO, présents dans chaque relevé quotidien
2 préfixes d'une boîte d'énergie ghanéenne, appris via Vodafone, qui transitaient Vodafone -> Ghana Telecom -> MEO.
Le 14/09 un préfixe d'une banque ghanéenne (appris via Angola Cables) s'est ajouté.
Total : 5 leaks recensés en 9 jours, donc ça tournait déjà en fond avant la grosse panne ces deniers 48h

Nuit du 14/09, ~00h00 UTC (01h locale)  grosse coupure côté client tout tombe (internet, mobile) sauf la TV RF qui passe encore parce qu'elle est diffusée via le signal de fibre et non par IP, jusqu'à -69% de trafic sur le mobile (AS42863), -65% sur le résidentiel (AS3243), AS15525 un peu touché aussi
Durée jusqu'à ~02h00 UTC (03h locale). Confirmé par NetBlocks et Cloudflare Radar.

Dans la même nuit, pic d'annonces BGP sur les 4 réseaux MEO, ça démarre à 22h30 UTC et pic à 00h15, avec un volume 70 à 85x la normale sur 48h. Côté Ghana Telecom au même moment seulement 1.9x leur baselinn à eux.

Après-midi du 14/09, 16h30-17h30 UTC 2e coupure, jusqu'à -51% de trafic sur AS3243 et AS42863, donc pas réglé après la "résolution" du matin.

Nuit du 14 au 15/09, ~00h00-01h locale 3e épisode. Ghana Telecom réannonce (encore) les préfixes de MEO la 3e fois en gros et ça refait tomber tous les services sauf, là aussi, la RF TV, MEO recommunique sur une "attaque"


MEO parle publiquement d'une "attaque" le truc qui coince selon MOI avec cette version si le leak/hijack de Ghana Telecom était la cause directe, on s'attendrait à voir la session BGP entre MEO et Ghana Telecom couper, ou les préfixes de MEO disparaître de la DFZ pendant l'incident et apparemment non, les préfixes sont restés annoncés tout du long, MEO n'a jamais disparu de la table globale et vu que c'est Ghana Telecom qui achète du transit à MEO (pas l'inverse), un pic d'annonces massif localisé côté MEO qui se répercute juste un peu chez Ghana Telecom (1.9x) colle mieux avec "souci interne chez MEO qui a des effets de bord chez ses clients de transit" qu'avec "Ghana Telecom qui casse MEO depuis l'extérieur". Et le fait que ça reparte une 3e fois la nuit suivante, avec le même schéma exact (tout tombe sauf la RF TV), sent plus la boucle pas cassée en interne qu'un leak isolé qui passerait par hasard trois fois de suite.

Donc je botte en touche vers les gens qui bossent le BGP/RPKI ici leak externe qui dégénère en vrai incident à répétition, ou souci interne côté CPRM/MEO mauvaise config qui coïncide avec les leaks de Ghana Telecom sans en être la cause ? Le fait que ça revienne une 3e fois pile dans le même pattern me fait plutôt pencher pour un truc pas réglé en interne, mais j'ai pas assez de visibilité pour trancher.



Sources:

https://x.com/emot/status/2099449728161198585
https://x.com/marcoacmaia/status/2099618332118831230
https://x.com/netblocks/status/2099340903718526991
etc

C'est malheureux à dire, mais je pense que la solution la plus simple et rapide est que les techniciens qui viennent raccorder constate la panne.
Après, plus tu as de voisins qui essayent de s'abonner, plus de techniciens viennent et plus il y a de retour et l'opérateur d'infrastructure viendra constater et probablement changer de sous traitants (envoyer une équipe Orange?) si c'est toujours le même qui fait mal les travaux...

je suis allé voir ma voisine ce matin. "faut lancer la procedure de votre coté vu que vous êtes chez Free, sinon on va jamais y arriver avec moi tout seul, on est a deja 2 techniciens, et la il va y en avoir un 3eme, et ça va etre pareil car ils ont rien reparé depuis avril."
(j'explique le problème)..

le voisin du 5eme descend (soit disant il avait fait une demande pour la fibre et en fait pas du tout "ah non, moi je m'en fou de ça"...)

donc "faite la demande, pour faire venir un gars de chez free, qu'il constate et fait remonter, car si y a que moi, on va jamais y arriver"
"ok, mais je peux pas rester sans connexion !"
"vous resterez pas sans connexion, tans que vous êtes pas raccordé, il coupe pas la ligne.
de toute façons on a pas le choix. depuis qu'ils ont installé la fibre et qu'on est éligible on peut plus prendre un abonnement ADSL car ils ont quasi fibré toute la France, leur but c'est d'arreter le cuivre, et ça va bientôt arriver... donc c'est la seule possibilité. après les problèmes de déconnexions avec la fibre, ça arrivera, mais on en est pas la."

D'un autre côté, il a beaucoup été question ces derniers d'un chercheur d'Anthropic, Jacob Coxon, démissionnant de l'entreprise, en disant qu'il craignait que l'IA anéantisse l'humanité dans 4 ou 5 ans. Et ses craintes appuyées par le président d'Anthropic, demandant un ralentissement du développement de l'IA. Appuyé peu après par son rival d'Open AI Sam Altmann, demandant une réglementation.

Et ensuite les déclarations de Donanld Trump, refusant un ralentissement, disant que cela profiterait aux chinois.

Mais ces dirigeants n'ont pas besoin d'une réglementation nationale ou internationale pour ralentir d'eux mêmes, s’ils pensent ces craintes fondées. Sauf qu'ils craignent d'être doublés par leurs concurrents, et qu'Anthropic doit rentrer en bourse bientôt, et que ce ne serait pas un bon signal pour leur futur cours de bourse, annoncé à 2000 milliards de dollars.

On peut aussi penser qu'un ralentissement orchestré, qui figerait leurs positions dominantes sur le marché de l'IA, les arrangerait plutôt, car elle leur permettrait de moins investir dans les datacenters (1.25 milliards de dollars par mois donnés à xAI Colossus, un datacenter de 8 GW, et des dizaines de milliards de dollars en construction pour Open AI), qui leur permettait d'améliorer leurs marges...

Voir par exemple NBC News :

Trump says AI doesn’t need guardrails, only a ‘high IQ’ president

He also alleged the existence of a ‘sick conspiracy’ against AI and data centers, at a time when Americans are increasingly concerned about the technology.

Sept. 14, 2026, 5:26 PM GMT+2 / Updated Sept. 14, 2026, 7:47 PM GMT+2 - By Megan Brand

President Donald Trump rejected the idea of placing guardrails on artificial intelligence, saying in a Truth Social post Monday that the only control needed is “a STRONG AND SMART (High IQ!) PRESIDENT, and the U.S.A. has that, in spades!”

In the same post, he appeared to hint at the government pursuing criminal or regulatory penalties against AI companies after industry insiders warned of potentially catastrophic dangers posed by the rapidly evolving technology.

“The Trump Administration has stopped AI ‘people’ from doing bad, or potentially bad, ‘things,’ like Dario (Anthropic!), who is now pretending to be a ‘perfect little angel’ — and we will continue to do so!” he said, referring to Dario Amodei, the CEO of Anthropic, maker of the Claude AI chatbot.

Amodei said in a Saturday essay that AI companies should “slow the pace” of AI development.

“We already have tremendous CRIMINAL and REGULATORY power over these companies!” Trump continued. “There is a SICK conspiracy going on against AI and Data Centers, and the only one that is happy about it is China. WHOEVER WINS AI, WINS! We are leading China, and all others, and will continue to do so. Conspiracy Theorists, Treasonists, Traitors, and Leakers, BEWARE!”
...

https://www.nbcnews.com/politics/trump-administration/trump-rejects-ai-guardrails-rcna597700

Le P2P est limité au LAN par défaut. Si tu as plusieurs Xbox....

"L’égal à égal est activé par défaut dans le client Windows à l’aide du mode de téléchargement LAN (mode de téléchargement 1). Dans ce mode, l’activité des homologues est limitée au réseau local uniquement,.."

https://learn.microsoft.com/fr-fr/windows/deployment/do/delivery-optimization-workflow

Pas forcément 20gb de trafic alors que je n’ai même pas allumé le téléphone pendant ces dernières 24 heures. x)