1. Dans /etc/config/firewall
Pour éviter un plantage silencieux du firewall, j'ai du renommer la règle

Code: [Sélectionner]

orange-prio en

Code: [Sélectionner]

orange_prio
Le nom du fichier include en lui-même n'a pas d'importance.

2. Dans /etc/nftables.d/orange-prio.include
Pensez remplacer le nom du device par le nom de l'interface parent dans votre configuration (dans mon cas c'était eth1) sur cette ligne :

Code: [Sélectionner]

type filter hook egress device "wan" priority 0; policy accept;

Après lecture et discussions avec Claude et ChatGPT, je pense qu'il est nécessaire d'ajouter la règle ip6 suivante en premier pour éviter que les paquets DHCP taggués en DSCP 6 se retrouvent forcés à 0 via la règle suivante :

Code: [Sélectionner]

vlan type ip6 udp dport 547 vlan pcp set 6 ip6 dscp set cs6 counter accept

Il faut également ajouter la ligne suivante concernant les paquets NDP, qui ne sont pas gérés par odhcp6c mais directement par le kernel :

Code: [Sélectionner]

vlan type ip6 icmpv6 type { nd-neighbor-solicit, nd-neighbor-advert, nd-router-solicit } vlan pcp set 6 ip6 dscp set cs6 counter accept
Ensuite j'ai inversé l'ordre des deux règles IPv4 pour pouvoir ajouter des accept partout, ce qui donne le résultat final suivant :

Code: [Sélectionner]

vlan type ip6 udp dport 547 vlan pcp set 6 ip6 dscp set cs6 counter accept
vlan type ip6 icmpv6 type { nd-neighbor-solicit, nd-neighbor-advert, nd-router-solicit } vlan pcp set 6 ip6 dscp set cs6 counter accept
vlan type ip6 ip6 dscp set cs0 counter accept
vlan type ip udp dport 67 vlan pcp set 6 ip dscp set cs6 counter accept
vlan type ip ip dscp set cs0 counter accept
vlan type arp vlan pcp set 6 counter accept

Je rejoins @basilix quant au fait que la moindre erreur dans ces règles peut avoir des conséquences catastrophiques.