Auteur Sujet: Remplacement Freebox fibre ZMD par un routeur OpenWRT (Lu 6987 fois)

ntz · « **le:** 09 janvier 2020 à 23:17:39 »

Bonsoir,

Je souhaite remplacer ma freebox fibre en ZMD (10G-EPON) par un routeur perso, sous OpenWRT.
Je me suis pour cela basé sur le tuto https://lafibre.info/remplacer-freebox/tuto-remplacer-sa-freebox-par-un-routeur-ubuiquity-en-zmd-10g-epon/ (Certes pour Ubiquiti, mais des informations sont tout de même utiles) ainsi que d'autres postes.

J'ai donc commencé par suivre la configuration du tuto et l'adapter pour OpenWRT :

Spoof de la mac adresse de mon interface eth0 et changement du mtu pour 1700.

Configuration IPv6 via DHCPv6 :

Code: [Sélectionner]

config interface 'wan6'
    option ifname 'eth0.836'
    option proto 'dhcpv6'

Je récupère une IPv6 correctement, et je peux accéder à internet.
Je remarque cependant que je récupère 2 IPv6, une avec MONPREFIX:0:XXXX:YYYY:Z et une second 2a01:e05:9:XXX:YYY::ZZZ. Je ne connais pas l'utilité de la deuxième.

Configuration Tunnel pour l'IPv4 (via le packet "map") :

Code: [Sélectionner]

config interface 'wan6_map' :
    option proto 'map'
    option type 'map-e'
    option tunlink 'wan6'
    option peedaddr '2a01:e00:29:200a::fffd' # Le BR
    option ipaddr '82.64.XX.YY' # Mon IPv4 Fullstack
    option ip4prefixlen 32
    option ip6prefix 'MONPREFIX::' 
    option ip6prefixlen 60
    option mtu 1500
    option ealen 32
    option psidlen 2
    option offset 0
    option encaplimit 'ignore'

Une fois la configuration appliquée, je m’aperçois de plusieurs choses :

- Une interface map-wan6_4 est crée avec une IP 91.163.XX.YY
- Une route par défaut est ajouté vers 0.0.0.0 sur l'interface map-wan6_4
- Une interface map-wan6_map est crée avec une IP 82.64.XX.YY

Via la première interface (map-wan6_4), je peux accéder à internet en IPv4.
Via la second (map-wan6_map) nada, quedal, walou, impossible d'aller sur internet.

Je remarque alors que l'IP 91.163.XX.YY était celle que j'avais lorsque j'étais en IP partagée.
J'avais aperçu aussi cette IP dans l'option MAP-E des trames DHCPv6.

Cela ne me convient pas, je souhaite avoir mon IPv4 Fullstack uniquement, surtout que j'ai des services qui tourne derrière et qui doivent être accessible depuis internet.

Malgré les bidouilles que j'ai essayées, impossible d’empêcher ce tunnel (map-wan6_4) de se créer tant que mon IPv6 de eth0 est récupéré en DHCPv6.

Je choisi alors de configurer l'IPv6 en static :

Code: [Sélectionner]

config interface 'wan6'
    option ifname 'eth0.836'
    option proto 'static'
    option ip6addr 'MONPREFIX:0:ffff:ffff:0' # Adresse utilisée par free lorsqu'on est en IP Fullstack, les trames que j'ai récupéré depuis le BR sont toutes à destinations de cette ip.
    option ip6gw 'fe80::207:XXXX:YYYY:ZZZZ'
    option ip6prefix 'MONPREFIX::/60'

Après application de la configuration, j'ai bien mon IPv6 (Et pas la second que j'avais en DHCPv6) et j'accède à internet.

Mon tunnel (map-wan6_map) est monté (ainsi que la route par défaut) avec mon IPv4 Fullstack et le second tunnel avec l'IP partagé a "disparu".

Nickel, sauf que impossible d'accéder à internet en IPv4.

Je remarque alors qu'une seconde IPv6 est ajouté à mon interface eth0.836, MONPREFIX:0:ABCD:EFGH:0.

Ce que j'observe via une capture de trame :
Je reçoit des trames IPv4 de UNEIPV4DINTERNET vers MONIPFULLSTACK, le tout encapsulé dans l'IPv6 qui provient de 2a01:e00:29:200a::fffd (Le BR) vers MONPREFIX:0:ffff:ffff:0 (Mon IPv6)
Cependant, la réponse de MONPREFIX:0:ffff:ffff:0 (Mon IPv6) est "destination unreachable, unreachable port [|icmp6]"
Je pense que cela est dû au fait que mon tunnel IPv6 ai pour local-ip la nouvelle généré MONPREFIX:0:ABCD:EFGH:0 et non MONPREFIX:0:ffff:ffff:0, du coup MONPREFIX:0:ffff:ffff:0 n'en veux pas et le renvoi.

Lorsque je capture une tentative de ping google.fr :
Je vois une trame de MONIPFULLSTACK vers 172.217.18.99 (google.fr), le tout encapsulé dans l'IPv6 qui part de MONPREFIX:0:ABCD:EFGH:0 vers 2a01:e00:29:200a::fffd.
MONPREFIX:0:ABCD:EFGH:0 étant la nouvelle IP ajouté lors de la création du tunnel et non mon ip configuré qui devrait être MONPREFIX:0:ffff:ffff:0. Je pense que cela explique pourquoi je n'ai pas de réponse, le BR de free doit ignorer cette ip ?!

Après quelques rechercher et surtout des tests. Cette fameuse ip (MONPREFIX:0:ABCD:EFGH:0) est généré lors de la création du tunnel selon l'IPv4 et le préfix IPv6 indiqués dans la configuration (ipaddr et ip6prefix/ip6prefixlength). Cependant je n'arrive pas à trouver comment forcer l'ip locale du tunnel à être MONPREFIX:0:ffff:ffff:0.

Auriez vous une idée de comment faire cela avec OpenWRT et "map" (ou un autre packet) ? Ou alors mon analyse est fausse, dans ce cas j'ai besoin de vos lumières pour m'éclaircir la cause du problème

ntz · « **Réponse #1 le:** 10 janvier 2020 à 20:27:37 »

Après d'autres tests mon analyse semblait exacte.

Ne trouvant pas de solution avec le packet "map" j'ai changé pour "ds-lite" avec une config comme cela :

Code: [Sélectionner]

config interface 'wan'
        option proto 'dslite'
        option tunlink 'wan6'
        option peeraddr '2a01:e00:29:200a::fffd'

Après application de la configuration j'obtient une IPv4 192.0.0.1. Je crois que le packet 'ds-lite' essaie d'obtenir l'IPv4 par DHCP.
En la forçant dans la configuration :

Code: [Sélectionner]

config interface 'wan'
        option proto 'dslite'
        option tunlink 'wan6'
        option peeraddr '2a01:e00:29:200a::fffd'

config interface
        option proto 'static'
        option ifname 'ds-wan'
        option ipaddr '82.64.153.114'
        option netmask '32'

J'ai bien mon IPv4 de configurée, la route par défaut ajoutée (Une route pour 192.0.0.1 à destination de 0.0.0.0 int ds-wan persiste mais ne gêne pas).

Je ne sais pas si c'est le plus propre et le plus "stable", mais mon débit est bon et j'ai pas de perte de packet.

Cependant une chose m'inquiète un peu. Sur le wiki officiel de OpenWRT, il est précisé de désactiver le NAT pour utiliser 'ds-lite' :

Citer

ds-lite operation requires that IPv4 NAT is disabled. You should adjust your settings in /etc/config/firewall accordingly.

https://openwrt.org/docs/guide-user/network/ucicheatsheet?s[]=dslite#protocol_dslite_dual-stack_lite

Étant donné que mon "routeur" pour faire les tests est un vieux PC avec une seul interface réseau, le temps de m'assurer d'une config. qui fonctionne pour en acheter un vrai, je ne peut pas tester si le NAT du LAN fonctionne malgré l'information du wiki.

Pensez vous que cette configuration fonctionnera (de manière stable) sur un vrai routeur et avec le NAT du LAN ?

nono723 · « **Réponse #2 le:** 08 février 2020 à 22:04:21 »

Je ne pense pas que ça va fonctionner car ton routeur peux avoir internet via le WAN mais le NAT va "beugger" et pas donner d'accès à internet. Ce n'est qu'une supposition, le mieux est d'essayer.

Par contre je ne sais pas si tu pourras répondre à ma question mais avec la méthode OpenWRT (que je dissocie de la méthode Ubiquiti), as tu un débit similaire (300/300) ou différent ?

ntz · « **Réponse #3 le:** 10 février 2020 à 23:33:12 »

Le temps passe et je n'ai toujours pas acheté le routeur, d'autres priorités en ce moment

J'ai test deux choses séparément, sur le PC/RTR, la mise en place du tunnel ipip6 vers free qui est fonctionnel.

Ensuite j'ai monté 2 VMs OpenWRT, créé le tunnel ipip6 et placé d'autres VM derrière avec du NAT :
PC-1 ----- OpenWRT-1 -----[tunnel]----- OpenWRT-2 ----- PC-2
La communication du PC-1 vers PC-2 fonctionne, le nat aussi, et même la redirection de port.

Je ne sais pas si c'est aussi simple du coté de chez free, mais pour moi, cela fonctionnerait.
Comme tu dis, à tester, quand je pourrais acheter le routeur. Ou si quelqu'un pouvant le faire passe dans le coin

Sinon pour répondre, directement depuis la machine avec un iperf j'avais un débit aux alentours de 600Mbit/s (De mémoire, les tests remontent à 1 mois). La machine étant un vieux PC de 2011 donc différent d'un routeur classique.

Cryptage · « **Réponse #4 le:** 12 février 2020 à 15:00:57 »

Le problème des routeurs Ubiquiti et autres c'est qu'il y a de l'offload matériel qui est implémenté et qui évite d'avoir des CPU à 100% et un débit réduit (en raison du CPU saturé).

En IPv6 l'accélération est généralement plus limitée et du coup on n'en profite pas si on a un tunnel ou du NAT par exemple.
Malheureusement rares sont les routeurs suffisamment puissants pour délivrer du Gbps sans offload.

Si vous voulez avoir de la performance avec ce type de routeur il faut probablement miser sur du x86 avec un CPU qui tient la route et utiliser un routeur logiciel (VyOS, PfSense, OpenWRT...).

Hugues · « **Réponse #5 le:** 12 février 2020 à 15:03:40 »

Citation de: Cryptage le 12 février 2020 à 15:00:57

Malheureusement rares sont les routeurs suffisamment puissants pour délivrer du Gbps sans offload.

Pas rares, RB4011, CCR100[9-72], Ubiquiti EdgeRouter [Pro-Infinity]...

Et le premier de la liste est à 140€, le dernier a quelques milliers

Les Mikrotik n'implémentent pas le 4Rd de Free, mais il suffit de prendre un tunnel chez un FAI qui fait du dual stack (suivez mon regard)

Cryptage · « **Réponse #6 le:** 12 février 2020 à 15:52:51 »

J'aurais dû préciser "rares à prix raisonnable"

.

Le Rb4011 est plus à 180 € qu'à 140 € mais peu importe ça reste pas donné quand même (c'est mon avis mais ça ça dépend de chacun

) et surtout s'il faut rajouter un tunnel (et la latence qui va avec) pour avoir un truc exploitable c'est bof de mon point de vue.

Les EdgeRouter Pro and co sont intéressants (et plus qualitatifs que MikroTik je trouve) mais trop chers pour la maison.

Les fabricants (Mediatek, Cavium...) pourraient surtout se donner la peine d'améliorer l'offload pour que ce soit aussi efficace en IPv6 qu'en IPv4.

Hugues · « **Réponse #7 le:** 12 février 2020 à 16:17:45 »

Citation de: Cryptage le 12 février 2020 à 15:52:51

Le Rb4011 est plus à 180 € qu'à 140 € mais peu importe ça reste pas donné quand même (c'est mon avis mais ça ça dépend de chacun ) et surtout s'il faut rajouter un tunnel (et la latence qui va avec) pour avoir un truc exploitable c'est bof de mon point de vue.

Ça c'est juste que Free implémente des trucs chelous et sur mesure...

Citation de: Cryptage le 12 février 2020 à 15:52:51

Les EdgeRouter Pro and co sont intéressants (et plus qualitatifs que MikroTik je trouve) mais trop chers pour la maison.

J'aimais EdgeRouter, avant d'avoir du Mikrotik.
Ils sont beaucoup, beaucoup plus complets, et surtout, l'IPv6 est bien offload.

Citation de: Cryptage le 12 février 2020 à 15:52:51

Les fabricants (Mediatek, Cavium...) pourraient surtout se donner la peine d'améliorer l'offload pour que ce soit aussi efficace en IPv6 qu'en IPv4.

Dans 90% des cas, c'est les vendors le souci, les puces sont agnostiques L2/L3 depuis longtemps...

Cryptage · « **Réponse #8 le:** 12 février 2020 à 16:50:40 »

L'IPv6 est aussi offloadé sur EdgeRouter mais pas tout. Est-ce que tu sais ce qui est supporté sur MikroTik ? Est-ce que les tunnels et NPTv6 sont gérés par exemple ?

Ubiquiti dans ses versions 2.0.x de Edgemax (Debian 9) est obligé de faire du backport depuis les versions 1.10.x donc on peut quand même supposer qu'ils n'ont pas accès à tout pour l'offload, en tout cas sur les puces MediaTek... Ou alors ils ne veulent pas investir dessus mais ce serait étonnant car ils ont quand même essayé en 2.0.6 de prendre l'offload OpenWRT (ce qui n'a pas été concluant).

moamo67 · « **Réponse #9 le:** 22 juillet 2020 à 13:31:18 »

Citation de: ntz le 10 janvier 2020 à 20:27:37

Après d'autres tests mon analyse semblait exacte.

Ne trouvant pas de solution avec le packet "map" j'ai changé pour "ds-lite" avec une config comme cela :

Code: [Sélectionner]
config interface 'wan' option proto 'dslite' option tunlink 'wan6' option peeraddr '2a01:e00:29:200a::fffd'
Après application de la configuration j'obtient une IPv4 192.0.0.1. Je crois que le packet 'ds-lite' essaie d'obtenir l'IPv4 par DHCP.
En la forçant dans la configuration :

Code: [Sélectionner]
config interface 'wan' option proto 'dslite' option tunlink 'wan6' option peeraddr '2a01:e00:29:200a::fffd' config interface option proto 'static' option ifname 'ds-wan' option ipaddr '82.64.153.114' option netmask '32'
J'ai bien mon IPv4 de configurée, la route par défaut ajoutée (Une route pour 192.0.0.1 à destination de 0.0.0.0 int ds-wan persiste mais ne gêne pas).

Je ne sais pas si c'est le plus propre et le plus "stable", mais mon débit est bon et j'ai pas de perte de packet.

Cependant une chose m'inquiète un peu. Sur le wiki officiel de OpenWRT, il est précisé de désactiver le NAT pour utiliser 'ds-lite' :
https://openwrt.org/docs/guide-user/network/ucicheatsheet?s[]=dslite#protocol_dslite_dual-stack_lite

Étant donné que mon "routeur" pour faire les tests est un vieux PC avec une seul interface réseau, le temps de m'assurer d'une config. qui fonctionne pour en acheter un vrai, je ne peut pas tester si le NAT du LAN fonctionne malgré l'information du wiki.

Pensez vous que cette configuration fonctionnera (de manière stable) sur un vrai routeur et avec le NAT du LAN ?

salut a toi !!! je suis dans la meme situation que toi , sauf que quand je cree le ds-lite il me prend une ip 192.0.0.2 .... et ceux en mettant nimporte quel info ipv6 il me donne 192.0.0.2 . du coup je cree un tunlink comme toi en static mais rien ne tourne .

dslite n'a pas lair ok non ?

si tu a des photo de ta config openwrt , je suis aussi sous openwrt

merci !!!!