Il y a un an, tu envisagait de rajouter de l'IPv6.

👉 IPv6 :
Vous aviez entièrement raison. Même si la demande client reste très faible, l’IPv6 est indispensable surtout pour les performances, la pérennité et l’image pro.
Je vais donc récupérer un bloc IPv6 dans quelque temps afin de pouvoir déployer proprement l’IPv6 sur l’ensemble des offres (VPS, serveurs de jeux et hébergement web).
Il sera ensuite activé automatiquement sur les VPS, avec possibilité de désactivation manuelle.

N'hésites pas à nous dire ce qui a posé probléme, ce qui est couteux / compliqué pour mettre en place IPv6.

Il y a des cas d'usages (exemple : serveur de backend) ou il n'est pas nécessaire d'avoir une IPv4 publique. Une IPv4 privée est possible pour connecter le front et le backend), mais de plus en plus on trouve plus simple d'avoir des serveurs IPv6 only.

Je suis en train de mettre à jour mon tableau sur Nine, je vois qu'il y a pleins de toutes petites AS sans IPv4 (IPv6 only). Bref IPv6 va devenir de plus en plus indispensable.

Ce n'est pas idéal un changement d'IP lors des coupures de courte durée.

Imagine tu est connecté en SSH sur une machine, à cause du changement d'IP, la connexion est perdue.

Si cela n'impacte pas ds usages comme le streaming, c'est problématique pour d'autres usages.

L'IP change dès qu'il y a une rupture de la connexion, même de 1sec. Et si elle est maintenue on peut théoriquement se déplacer partout sur le territoire sans en changer. Ça dépend du réseau, si les SGW peuvent communiquer avec tous les PGW.

La régle du 3-2-1, ne demande pas d'avoir également une sauvegarde off-line ?

C'est bine de tout mettre sur des NAS connectés, mais en cas de compromission du résau, l'attaquant ne peut pas tout effacer ?

Ce ne sera pas le cas de tes casettes LTO, pour moi il faut conserver une sauvegarde off-line, que ce soit des disques qui sont physiquement éteints ou des casettes.

Désolé, je viens juste de le flasher.
Merci pour toutes les informations présentes sur le forum.

Tuto rédigé avec l'aide de Claude.ai reprenant les différentes étapes :
Si vous voyez une incohérence, merci de me le signaler.

Tuto : FS GPON-ONU-34-20BI + FS Modded 5.1 pour remplacer le mini-ONT Alcatel I-010G-Q (RED by SFR) — routeurs MikroTik

Matériel

ONU FS.com GPON-ONU-34-20BI, ID produit 133619. C’est la version Lantiq : les SKU récents (351553, 351565) ont une autre puce et ce tuto ne s’y applique pas.
ONT SFR d’origine : Alcatel-Lucent I-010G-Q, firmware 3FE55188AOXA14, numéro de série en ALCL…
Routeurs : MikroTik CCR2004-1G-12S+2XS (préparation) et RB5009 (production), RouterOS 7.25.

1. Relever les infos de l’ONT Alcatel
Depuis un routeur qui a une IP en 192.168.4.0/24 sur l’interface WAN : interface web sur http://192.168.4.254, ou SSH avec les identifiants admin4me déjà publiés sur le forum.
Dans le CLI, la commande shell puis fw_printenv donne tout :
ModelName=I-010G-Q
ethaddr=XX:XX:XX:XX:XX:XX
SerialNo=414C434CXXXXXXXX (= ALCLXXXXXXXX)
Password=XXXXXXXXXXXXXXXX0000 (SLID hexa, = 8 car. ASCII + 2 octets nuls)
La version du firmware s’obtient avec version. Je n’ai pas trouvé de version matérielle sur cet ONT, qui tourne sur une plateforme XAVi (pas de ritool).
Sur MikroTik, pensez à autoriser 192.168.4.254 en entrée, car la règle raw defconf « drop non global from WAN » le bloque.

2. Accéder à l’ONU FS sur un port SFP+ MikroTik
/interface bridge port disable [find interface=sfp-sfpplusX]
/interface ethernet set sfp-sfpplusX auto-negotiation=no speed=2.5G-baseX sfp-ignore-rx-los=yes
/ip address add address=192.168.1.11/24 interface=sfp-sfpplusX
Le module met une à deux minutes à démarrer. Il faut forcer le 2.5G-baseX, sinon RouterOS négocie en 1G, d’après l’EEPROM, et le lien ne monte pas.
Si votre firewall raw se termine par « drop the rest » et que le port n’est dans aucune liste d’interfaces, ajoutez une règle raw accept pour src 192.168.1.10.

3. Piège : OpenSSH 10
Le Dropbear 2016.73 du firmware FS coupe la connexion pendant l’échange de clés avec OpenSSH 10.x (macOS comme Debian), même en ajoutant diffie-hellman-group14-sha1 et ssh-rsa. Le dbclient récent ne propose plus ces algorithmes non plus.
Solution : un vieux client OpenSSH dans un conteneur Docker.
services:
oldssh:
image: alpine:3.8
network_mode: host
stdin_open: true
tty: true
volumes:
- ./fw:/fw
entrypoint: sh -c “apk add --no-cache openssh-client && sh”
sudo docker compose run --rm oldsshFirmware d’origine : 6BA1896SPLQA42, identifiants ONTUSER / mot de passe hack-gpon.

4. Flasher FS Modded 5.1 sur l’image 1
Fichier 6BA1896SPLQA42_MODDED_ver5-1.img (lien sur hack-gpon), MD5 c4f1bbe1695803d3d449f911f43d78ea.
scp /fw/6BA1896SPLQA42_MODDED_ver5-1.img ONTUSER@192.168.1.10:/tmp/fw.img

sur le module :

md5sum /tmp/fw.img
mtd -e image1 write /tmp/fw.img image1
fw_setenv committed_image 1
fw_setenv image1_is_valid 1
reboot
Ensuite, en telnet sur 192.168.1.10 (root / root) : firstboot puis reboot. Cette étape est obligatoire. L’image 0 d’usine reste en secours.

5. Variables SFR
fw_setenv onu_serial “ALCLXXXXXXXX”
fw_setenv onu_ploam “XXXXXXXX\0x00\0x00”
fw_setenv omci_vendor_id “ALCL”
fw_setenv omci_equip_id “I-010G-Q”
fw_setenv image0_version “3FE55188AOXA14”
fw_setenv image1_version “3FE55188AOXA14”
fw_setenv ethaddr “XX:XX:XX:XX:XX:XX” # MAC de l’ONT Alcatel
fw_setenv ipaddr 192.168.4.10
reboot
Par défaut, le 5.1 utilise déjà le MIB data_1g_8q_us1280_ds512.ini (voir /etc/init.d/omcid.sh). Si vous renseignez omci_hw_ver, le script génère automatiquement un MIB patché avec cette valeur.

6. Côté routeur
Il faut reprendre la MAC de la box SFR sur l’interface WAN et le DHCP avec l’option 60 de la box, comme pour un remplacement classique de la box.

7. Limite
Le jour ou l'OLT décidera de faire une mise a jour du Firmware de l'ONT, il essaiera de pousser son nouveau firmware qui sera rejeté par l'ONT fs.com. Et ca va partir en boucle.

Il est utilie de conserver sa box sfr (ou son ONT externe SFR), pour qu'elle/il fasse cette mise à jour, et appliquer ensuite le nouveau numéro de version à l'ONT fs.com

fw_setenv image1_version=xxxxxxxxxxxxxxx

Si vous voyez un moyen d'éviter cette procédure, je suis intéressé.

Statut
Préparation validée (flash, variables, accès). Test sur la fibre à venir : je compléterai avec l’état PLOAM et le résultat du DHCP. Je ne sais pas très bien si je dois passer en sfp-ignore-rx-los=no, à priori cela s'impose.