Pages: [1]   En bas

Auteur Sujet: Tuto: Remplacer sa freebox (non Delta) par un routeur Vyos en ZMD (10G-EPON)  (Lu 2696 fois)

0 Membres et 1 Invité sur ce sujet

sorg

  • Abonné Free adsl
  • *
  • Messages: 40
Tuto: Remplacer sa freebox (non Delta) par un routeur Vyos en ZMD (10G-EPON)
« le: 31 mai 2023 à 15:01:47 »
Bonjour à tous,

Les infos sont déjà dispo de façon diffuse sur ce forum, mais je crois qu'elle n'avait jamais été centralisées.
Voici donc un résumé de la config nécéssaire pour utiliser un routeur Vyos en le branchant directement à l'ONT en ZMD.
(Donc non applicable pour Pop et Delta).

Ce mode opératoire fonctionne en ip full stack.
Il est adaptable en mode ip partagée, mais franchement, pourquoi s'imposer celà ?

Informations à collecter avant de démarrer:
- La MAC de la freebox (Dispo sur l'étiquette de la face inférieure de la freebox).
Ici: 00:24:d4:de:ad:20
 - L'adresse ip full stack de votre connexion ipv4:  (dispo dans l'interface web de votre freeboxos ou sur votre espace client free )
ici: 82.69.69.236
- Le préfixe ipv6 attribué par free:  (visible dans votre interface freeboxos dans l'encart délégation de préfixe, ou sur votre espace client)
ici: 2a01:dead:beef:51d0

Pour cette configuration, je pars du principe que vous avez déjà installé Vyos sur votre routeur, et que vous connaissez les principales commandes de paramétrage.
Pour cet exemple, j'ai 3 interface physique sur mon routeur:
eth0: interface connectée à l'ONT
eth1: interface LAN "général"
eth2: interface DMZ connecté à mon serveur@home

Vyos ne disposant pas du protocole map-e, les connexions sont crées manuellement en forçant les IP à la main.
Si pour une raison quelqonque Free change vos IP, il faudra modifier le paramétrage.


C'est parti, allons y :)


Code: [Sélectionner]
#Création du lien ipv6
configure
#On paramètre l'interface physique.
set interfaces ethernet eth0 description 'Fibre'
set interfaces ethernet eth0 mac '00:24:d4:de:ad:20' #MODIFIER ICI AVEC VOTRE ADRESS MAC.
set interfaces ethernet eth0 mtu '1700'
#Création du lien ipv6 sur le VLAN 836
set interfaces ethernet eth0 vif 836 address 'dhcpv6'
set interfaces ethernet eth0 vif 836 address '2a01:dead:beef:51d0:0:ffff:ffff:0/128' #METTRE ICI VOTRE PREFIXE IPV6 (ne pas changer la terminaison 0:ffff:ffff:0/128)
set interfaces ethernet eth0 vif 836 description 'WAN_ipv6'
set interfaces ethernet eth0 vif 836 ipv6 address autoconf
set interfaces ethernet eth0 vif 836 mtu '1700'
commit
save
exit

A ce stade, vous devriez avoir une connexion ipv6 fonctionnelle.

Faire un ping vers le serveur DNS de Free :
Code: [Sélectionner]
ping -6 -c4 2a01:e00::2   

Si ca fonctionne, vous pouvez passer à la suite, sinon, revérifier tout depuis le début.

Code: [Sélectionner]
configure
#On définit le dns v6 de free. (vous pourrez le remplacer à votre guise pour la suite)
set system name-server '2a01:e00::2'
commit
save
exit

Désormais, on devrais pouvoir faire un ping ou une requête http en ipv6:
Code: [Sélectionner]
ping -6 -c 4 www.free.fr
curl -v -6 www.free.fr

Ca roule ? On continue!

Code: [Sélectionner]
configure
#Création du tunnel IPIP6
set interfaces tunnel tun0 address '82.69.69.236/32' #RENSEIGNEZ ICI VOTRE IP V4
set interfaces tunnel tun0 description 'WAN_ipv4full'
set interfaces tunnel tun0 encapsulation 'ipip6'
set interfaces tunnel tun0 mtu '1500'
set interfaces tunnel tun0 parameters ip ttl '64'
set interfaces tunnel tun0 parameters ipv6 encaplimit 'none'
set interfaces tunnel tun0 parameters ipv6 flowlabel '0x00000'
set interfaces tunnel tun0 parameters ipv6 hoplimit '64'
set interfaces tunnel tun0 parameters ipv6 tclass '0x00'
set interfaces tunnel tun0 remote '2a01:e00:29:200a::fffd'
set interfaces tunnel tun0 source-address '2a01:dead:beef:51d0:0:ffff:ffff:0' #METTRE ICI VOTRE PREFIXE IPV6 (ne pas changer la terminaison 0:ffff:ffff:0/128)
commit
save
exit

Si Dieu veut (et vous aussi) , vous avez désormais une connexion ipv4 fonctionnelle.
On teste:
Code: [Sélectionner]
ping -4 -c 4 212.27.40.240
ping -4 -c 4 www.free.fr
curl -v -4 www.free.fr

Allons y maintenant pour définir nos réseaux coté LOCAL: (A personaliser pour vous bien sur !)
Code: [Sélectionner]
configure

#Définition de l'adressage pour ETH1:
set interfaces ethernet eth1 address '192.168.1.254/24'
set interfaces ethernet eth1 description 'LAN_General'
set interfaces ethernet eth1 ipv6 address autoconf
#On demande à Free une délégation d'un prefixe ipv6 en /64 pour ce réseau.
set interfaces ethernet eth0 vif 836 dhcpv6-options pd 1 interface eth1 address '1'
set interfaces ethernet eth0 vif 836 dhcpv6-options pd 1 interface eth1 sla-id '1'
set interfaces ethernet eth0 vif 836 dhcpv6-options pd 1 length '56'

#Définition de l'adressage pour ETH2:
set interfaces ethernet eth2 address '192.168.2.254/24'
set interfaces ethernet eth2 description 'LAN_DMZ'
set interfaces ethernet eth2 ipv6 address autoconf
#On demande à Free une délégation d'un prefixe ipv6 en /64 pour ce réseau.
set interfaces ethernet eth0 vif 836 dhcpv6-options pd 2 interface eth2 address '1'
set interfaces ethernet eth0 vif 836 dhcpv6-options pd 2 interface eth2 sla-id '2'
set interfaces ethernet eth0 vif 836 dhcpv6-options pd 2 length '56'

#J'active un serveur DHCPv4 pour chacun de ces réseaux:
set service dhcp-server shared-network-name LAN_General domain-name 'local'
set service dhcp-server shared-network-name LAN_General name-server '192.168.1.254'
set service dhcp-server shared-network-name LAN_General ntp-server '192.168.1.254'
set service dhcp-server shared-network-name LAN_General subnet 192.168.1.0/24 default-router '192.168.1.254'
set service dhcp-server shared-network-name LAN_General subnet 192.168.1.0/24 range 1 start '192.168.1.50'
set service dhcp-server shared-network-name LAN_General subnet 192.168.1.0/24 range 1 stop '192.168.1.150'
set service dhcp-server shared-network-name LAN_General subnet 192.168.2.0/24 default-router '192.168.2.254'
set service dhcp-server shared-network-name LAN_General subnet 192.168.2.0/24 range 1 start '192.168.2.50'
set service dhcp-server shared-network-name LAN_General subnet 192.168.2.0/24 range 1 stop '192.168.2.150'

#On met en place le RA pour ipv6 sur ces interfaces
set service router-advert interface eth1 default-lifetime '300'
set service router-advert interface eth1 default-preference 'high'
set service router-advert interface eth1 hop-limit '64'
set service router-advert interface eth1 interval max '30'
set service router-advert interface eth1 link-mtu '1500'
set service router-advert interface eth1 other-config-flag
set service router-advert interface eth1 prefix ::/64 preferred-lifetime '300'
set service router-advert interface eth1 prefix ::/64 valid-lifetime '900'
set service router-advert interface eth1 reachable-time '900000'

set service router-advert interface eth2 default-lifetime '300'
set service router-advert interface eth2 default-preference 'high'
set service router-advert interface eth2 hop-limit '64'
set service router-advert interface eth2 interval max '30'
set service router-advert interface eth2 link-mtu '1500'
set service router-advert interface eth2 other-config-flag
set service router-advert interface eth2 prefix ::/64 preferred-lifetime '300'
set service router-advert interface eth2 prefix ::/64 valid-lifetime '900'
set service router-advert interface eth2 reachable-time '900000'

#J'active un relais dns pour ces deux réseaux
set service dns forwarding allow-from '192.168.1.0/24'
set service dns forwarding allow-from '192.168.2.0/24'
set service dns forwarding allow-from '2a01:dead:beef:51d0::/60' #REMPLACER ICI PAR VOTRE PREFIXE IPV6
set service dns forwarding cache-size '0'
set service dns forwarding listen-address '192.168.1.254'
set service dns forwarding listen-address '192.168.2.254'
set service dns forwarding name-server 1.1.1.1
set service dns forwarding name-server 9.9.9.9
set service dns forwarding system

#J'active un serveur ntp
set service ntp allow-client address '0.0.0.0/0'
set service ntp allow-client address '::/0'
set service ntp server time1.vyos.net
set service ntp server time2.vyos.net
set service ntp server time3.vyos.net

commit
save
exit

A ce stade, vous devriez avoir une ipv6 sur chacun des réseaux locaux. On voit que la délégation de préfixe fonctionne bien.
Code: [Sélectionner]
vyos@vyos:~$ show interfaces
Codes: S - State, L - Link, u - Up, D - Down, A - Admin Down
Interface        IP Address                        S/L  Description
---------        ----------                        ---  -----------
eth0             -                                 u/u  Fibre
eth0.836         2a01:e03:b:f836:7b2f::11a/128     u/u  WAN_ipv6
                 2a01:dead:beef:51d0:0:ffff:ffff:0/128

eth1             192.168.1.254/24                  u/u  LAN_General
                 2a01:dead:beef:51d1:456:fcff:fe4e:4891/64

                 2a01:dead:beef:51d1::1/64
eth2             192.168.2.254/24                  u/u  LAN_DMZ
                 2a01:dead:beef:51d2:1091:71ff:fe6e:3662/64

                 2a01:dead:beef:51d2::1/64
lo               127.0.0.1/8                       u/u
                 ::1/128
tun0             82.69.69.236/32                   u/u  WAN_ipv4full

Toutes vos machines du réseaux (compatibles ipv6) doivent maintenant avoir une connectivité ip6.
Il nous reste à mettre en place du NAT sur ipv4 :

Code: [Sélectionner]
configure
#mise en place du NAT
set firewall group network-group LAN_v4 network '192.168.1.0/24'
set firewall group network-group LAN_v4 network '192.168.2.0/24'
set nat source rule 10 description 'NAT-LAN-TO-WAN'
set nat source rule 10 outbound-interface 'tun0'
set nat source rule 10 source group network-group 'LAN_v4'
set nat source rule 10 translation address 'masquerade'

#J'en profite pour faire une redirection de port HTTPS vers mon serveur en DMZ
set nat destination rule 1010 description 'Port Forward: HTTPS to 192.168.2.10'
set nat destination rule 1010 destination port '443'
set nat destination rule 1010 inbound-interface 'tun0'
set nat destination rule 1010 protocol 'tcp'
#et le Hairpin NAT associé:
set nat destination rule 1011 description 'NAT Reflection: HTTPS to 192.168.2.10'
set nat destination rule 1011 destination address '82.69.69.236' #METTRE ICI VOTRE IP PUBLIQUE FREE
set nat destination rule 1011 destination port '443'
set nat destination rule 1011 inbound-interface 'eth1.4'
set nat destination rule 1011 protocol 'tcp_udp'
set nat destination rule 1011 translation address '192.168.2.10'
set nat source rule 1011 description 'NAT Reflection: HTTPS to 192.168.2.10'
set nat source rule 1011 destination address '192.168.2.0/24'
set nat source rule 1011 outbound-interface 'eth2'
set nat source rule 1011 protocol 'tcp_udp'
set nat source rule 1011 source address '192.168.1.0/24'
set nat source rule 1011 translation address 'masquerade'
commit
save
exit

A ce stade, vous devriez avoir le net en ipv4 et ipv6 sur toutes vos machines.... Mais vous êtes nus comme un ver sans firewall.
Si vous regardez vos logs, vous devez voir les tentatives incessantes de connexions sur votre ssh
Code: [Sélectionner]
monitor logDites vous que c'est pareil sur toutes vos machines à l'intérieur du réseau qui ont une connectivité ipv6...

La suite dans le message suivant...

IP archivée

sorg

  • Abonné Free adsl
  • *
  • Messages: 40
Tuto: Remplacer sa freebox (non Delta) par un routeur Vyos en ZMD (10G-EPON)
« Réponse #1 le: 31 mai 2023 à 15:01:58 »
Pour le réglage du firewall, c'est assez rébarbatif avec vyos. Je vous suggère de dégrossir le boulot avec un générateur comme celui-ci:
https://github.com/njh/vyos-firewall-generator

Je crée un fichier de configuration json qui décrit les règles souhaitées:
Code: [Sélectionner]
{
  "zones": {
    "LAN": {
      "description": "The local private LAN",
      "interfaces": ["eth1"]
    },
    "WAN": {
      "description": "The Internet",
      "interfaces": ["tun0","eth0","eth0.836"]
    },
    "DMZ": {
      "description": "Screened subnet for DMZ",
      "interfaces": ["eth2"]
    },
    "LOCAL": {
      "description": "The firewall itelf"
    }
  },
  "default-actions": {
    "LAN-from-WAN": "drop",
    "LAN-from-DMZ": "reject",
    "LAN-from-LOCAL": "accept",
    "WAN-from-LAN": "accept",
    "WAN-from-DMZ": "reject",
    "WAN-from-LOCAL": "accept",
    "DMZ-from-LAN": "accept",
    "DMZ-from-WAN": "drop",
    "DMZ-from-LOCAL": "accept",
    "LOCAL-from-LAN": "accept",
    "LOCAL-from-WAN": "drop",
    "LOCAL-from-DMZ": "reject"
  },
  "aliases": {
    "Server": [
      "192.168.2.10",
      "2a01:dead:beef:51d2:dabb:c1ff:feb7:c3ba"
    ]
  },
  "rules": {
    "LAN-from-DMZ": [
      {
        "description": "allow DMZ to ping LAN",
        "action": "accept",
        "protocol": "icmp"
      }
    ],
    "LOCAL-from-LAN": [
      {
        "description": "allow LAN to SSH into firewall (anti-lockout rule)",
        "action": "accept",
        "destination-port": 22
      }
    ],
    "LOCAL-from-WAN": [
      {
        "description": "allow WAN to wireguard into firewall",
        "action": "accept",
        "destination-port": 51820
      },
  {
        "description": "allow WAN to ping LOCAL",
        "action": "accept",
        "protocol": "icmp"
      },
  {
        "description": "allow WAN from Border-Router - Required for ipv4",
        "action": "accept",
        "source-address": "2a01:e00:29:200a::fffd"
      }
    ],
    "LOCAL-from-DMZ": [
      {
        "description": "allow DMZ to do DNS lookups to firewall",
        "action": "accept",
        "protocol": "udp",
        "destination-port": 53
      },
  {
        "description": "allow DMZ to do NTP  to firewall",
        "action": "accept",
        "protocol": "udp",
        "destination-port": 123
      }
    ],
    "LAN-from-WAN": [
  {
        "description": "allow HTTP/HTTPS to HomeServer from the Internet",
        "action": "accept",
        "destination-address": "Server",
        "destination-port": [443]
      }
    ]
  }
}
Et cela me génère un jeu de commande à copier/coller dans vyos:

Code: [Sélectionner]
PS C:\vyos-firewall-generator-main> ruby ./bin/vyos-generate-firewall --command firewall_tuto.json
set zone-policy zone LAN description 'The local private LAN'
set zone-policy zone LAN interface eth1
set zone-policy zone LAN from WAN firewall name LAN-from-WAN-v4
set zone-policy zone LAN from WAN firewall ipv6-name LAN-from-WAN-v6
set zone-policy zone LAN from DMZ firewall name LAN-from-DMZ-v4
set zone-policy zone LAN from DMZ firewall ipv6-name LAN-from-DMZ-v6
set zone-policy zone LAN from LOCAL firewall name LAN-from-LOCAL-v4
set zone-policy zone LAN from LOCAL firewall ipv6-name LAN-from-LOCAL-v6
set zone-policy zone WAN description 'The Internet'
set zone-policy zone WAN interface tun0
set zone-policy zone WAN interface eth0
set zone-policy zone WAN interface 'eth0.836'
set zone-policy zone WAN from LAN firewall name WAN-from-LAN-v4
set zone-policy zone WAN from LAN firewall ipv6-name WAN-from-LAN-v6
set zone-policy zone WAN from DMZ firewall name WAN-from-DMZ-v4
set zone-policy zone WAN from DMZ firewall ipv6-name WAN-from-DMZ-v6
set zone-policy zone WAN from LOCAL firewall name WAN-from-LOCAL-v4
set zone-policy zone WAN from LOCAL firewall ipv6-name WAN-from-LOCAL-v6
set zone-policy zone DMZ description 'Screened subnet for DMZ'
set zone-policy zone DMZ interface eth2
set zone-policy zone DMZ from LAN firewall name DMZ-from-LAN-v4
set zone-policy zone DMZ from LAN firewall ipv6-name DMZ-from-LAN-v6
set zone-policy zone DMZ from WAN firewall name DMZ-from-WAN-v4
set zone-policy zone DMZ from WAN firewall ipv6-name DMZ-from-WAN-v6
set zone-policy zone DMZ from LOCAL firewall name DMZ-from-LOCAL-v4
set zone-policy zone DMZ from LOCAL firewall ipv6-name DMZ-from-LOCAL-v6
set zone-policy zone LOCAL description 'The firewall itelf'
set zone-policy zone LOCAL local-zone
set zone-policy zone LOCAL from LAN firewall name LOCAL-from-LAN-v4
set zone-policy zone LOCAL from LAN firewall ipv6-name LOCAL-from-LAN-v6
set zone-policy zone LOCAL from WAN firewall name LOCAL-from-WAN-v4
set zone-policy zone LOCAL from WAN firewall ipv6-name LOCAL-from-WAN-v6
set zone-policy zone LOCAL from DMZ firewall name LOCAL-from-DMZ-v4
set zone-policy zone LOCAL from DMZ firewall ipv6-name LOCAL-from-DMZ-v6
set firewall name LAN-from-WAN-v4 default-action drop
set firewall name LAN-from-WAN-v4 rule 1 description 'allow HTTP/HTTPS to HomeServer from the Internet'
set firewall name LAN-from-WAN-v4 rule 1 action accept
set firewall name LAN-from-WAN-v4 rule 1 protocol tcp
set firewall name LAN-from-WAN-v4 rule 1 destination address '192.168.2.10'
set firewall name LAN-from-WAN-v4 rule 1 destination port 443
set firewall ipv6-name LAN-from-WAN-v6 default-action drop
set firewall ipv6-name LAN-from-WAN-v6 rule 1 description 'allow HTTP/HTTPS to HomeServer from the Internet'
set firewall ipv6-name LAN-from-WAN-v6 rule 1 action accept
set firewall ipv6-name LAN-from-WAN-v6 rule 1 protocol tcp
set firewall ipv6-name LAN-from-WAN-v6 rule 1 destination address '2a01:dead:beef:51d2:dabb:c1ff:feb7:c3ba'
set firewall ipv6-name LAN-from-WAN-v6 rule 1 destination port 443
set firewall name LAN-from-DMZ-v4 default-action reject
set firewall name LAN-from-DMZ-v4 rule 1 description 'allow DMZ to ping LAN'
set firewall name LAN-from-DMZ-v4 rule 1 action accept
set firewall name LAN-from-DMZ-v4 rule 1 protocol icmp
set firewall ipv6-name LAN-from-DMZ-v6 default-action reject
set firewall ipv6-name LAN-from-DMZ-v6 rule 1 description 'allow DMZ to ping LAN'
set firewall ipv6-name LAN-from-DMZ-v6 rule 1 action accept
set firewall ipv6-name LAN-from-DMZ-v6 rule 1 protocol icmpv6
set firewall name LAN-from-LOCAL-v4 default-action accept
set firewall ipv6-name LAN-from-LOCAL-v6 default-action accept
set firewall name WAN-from-LAN-v4 default-action accept
set firewall ipv6-name WAN-from-LAN-v6 default-action accept
set firewall name WAN-from-DMZ-v4 default-action reject
set firewall ipv6-name WAN-from-DMZ-v6 default-action reject
set firewall name WAN-from-LOCAL-v4 default-action accept
set firewall ipv6-name WAN-from-LOCAL-v6 default-action accept
set firewall name DMZ-from-LAN-v4 default-action accept
set firewall ipv6-name DMZ-from-LAN-v6 default-action accept
set firewall name DMZ-from-WAN-v4 default-action drop
set firewall ipv6-name DMZ-from-WAN-v6 default-action drop
set firewall name DMZ-from-LOCAL-v4 default-action accept
set firewall ipv6-name DMZ-from-LOCAL-v6 default-action accept
set firewall name LOCAL-from-LAN-v4 default-action accept
set firewall name LOCAL-from-LAN-v4 rule 1 description 'allow LAN to SSH into firewall (anti-lockout rule)'
set firewall name LOCAL-from-LAN-v4 rule 1 action accept
set firewall name LOCAL-from-LAN-v4 rule 1 protocol tcp
set firewall name LOCAL-from-LAN-v4 rule 1 destination port 22
set firewall ipv6-name LOCAL-from-LAN-v6 default-action accept
set firewall ipv6-name LOCAL-from-LAN-v6 rule 1 description 'allow LAN to SSH into firewall (anti-lockout rule)'
set firewall ipv6-name LOCAL-from-LAN-v6 rule 1 action accept
set firewall ipv6-name LOCAL-from-LAN-v6 rule 1 protocol tcp
set firewall ipv6-name LOCAL-from-LAN-v6 rule 1 destination port 22
set firewall name LOCAL-from-WAN-v4 default-action drop
set firewall name LOCAL-from-WAN-v4 rule 1 description 'allow WAN to ping LOCAL'
set firewall name LOCAL-from-WAN-v4 rule 1 action accept
set firewall name LOCAL-from-WAN-v4 rule 1 protocol icmp
set firewall ipv6-name LOCAL-from-WAN-v6 default-action drop
set firewall ipv6-name LOCAL-from-WAN-v6 rule 1 description 'allow WAN to ping LOCAL'
set firewall ipv6-name LOCAL-from-WAN-v6 rule 1 action accept
set firewall ipv6-name LOCAL-from-WAN-v6 rule 1 protocol icmpv6
set firewall ipv6-name LOCAL-from-WAN-v6 rule 2 description 'allow WAN from Border-Router - Required for ipv4'
set firewall ipv6-name LOCAL-from-WAN-v6 rule 2 action accept
set firewall ipv6-name LOCAL-from-WAN-v6 rule 2 protocol tcp
set firewall ipv6-name LOCAL-from-WAN-v6 rule 2 source address '2a01:e00:29:200a::fffd'
set firewall name LOCAL-from-DMZ-v4 default-action reject
set firewall name LOCAL-from-DMZ-v4 rule 1 description 'allow DMZ to do DNS lookups to firewall'
set firewall name LOCAL-from-DMZ-v4 rule 1 action accept
set firewall name LOCAL-from-DMZ-v4 rule 1 protocol udp
set firewall name LOCAL-from-DMZ-v4 rule 1 destination port 53
set firewall name LOCAL-from-DMZ-v4 rule 2 description 'allow DMZ to do NTP  to firewall'
set firewall name LOCAL-from-DMZ-v4 rule 2 action accept
set firewall name LOCAL-from-DMZ-v4 rule 2 protocol udp
set firewall name LOCAL-from-DMZ-v4 rule 2 destination port 123
set firewall ipv6-name LOCAL-from-DMZ-v6 default-action reject
set firewall ipv6-name LOCAL-from-DMZ-v6 rule 1 description 'allow DMZ to do DNS lookups to firewall'
set firewall ipv6-name LOCAL-from-DMZ-v6 rule 1 action accept
set firewall ipv6-name LOCAL-from-DMZ-v6 rule 1 protocol udp
set firewall ipv6-name LOCAL-from-DMZ-v6 rule 1 destination port 53
set firewall ipv6-name LOCAL-from-DMZ-v6 rule 2 description 'allow DMZ to do NTP  to firewall'
set firewall ipv6-name LOCAL-from-DMZ-v6 rule 2 action accept
set firewall ipv6-name LOCAL-from-DMZ-v6 rule 2 protocol udp
set firewall ipv6-name LOCAL-from-DMZ-v6 rule 2 destination port 123
set firewall state-policy established action accept
set firewall state-policy related action accept
set firewall state-policy invalid action drop
Ce générateur est prévu pour une vielle version de vyos, il faut donc remplacer les commande
Code: [Sélectionner]
set zone-policy zone...par
Code: [Sélectionner]
set firewall zone ...
C'est pas très digeste, mais ce n'est pourtant qu'un jeu de règles firewall très basique qui restera à affiner par rapport à vos besoins. Vous avez en particulier sans doute besoin d'ouvrir un peu plus les communications entre la DMZ et votre réseau local.

Vous voici protégé et avec une connexion fonctionnelle sans Freebox :) Enjoy !

NOTA important:
Après un reboot je viens de me rendre compte que le Firewall bloque l'établissement de la connexion.
C'est à priori lié au générateur de firewall qui a été un peu trop restrictif.
Il faut remplacer
Code: [Sélectionner]
set firewall ipv6-name LOCAL-from-WAN-v6 rule 2 protocol tcppar
Code: [Sélectionner]
set firewall ipv6-name LOCAL-from-WAN-v6 rule 2 protocol all
« Modifié: 23 juin 2023 à 19:08:52 par sorg »
IP archivée

sorg

  • Abonné Free adsl
  • *
  • Messages: 40
Tuto: Remplacer sa freebox (non Delta) par un routeur Vyos en ZMD (10G-EPON)
« Réponse #2 le: 23 juin 2023 à 19:38:30 »
Le routeur finalisé :

(Ajout d'une carte SFP sur port miniPCIE pour remplacer le MC200L)

IP archivée

Gnubyte

  • Abonné Orange Fibre
  • *
  • Messages: 1 063
  • Toulon (83)
    • HSGMII intégriste
Tuto: Remplacer sa freebox (non Delta) par un routeur Vyos en ZMD (10G-EPON)
« Réponse #3 le: 30 juin 2023 à 16:14:03 »
Passionnant exposé.

Il n'est pas impossible que je sois prochainement intéressé.  ::)
IP archivée

vivien

  • Administrateur
  • *
  • Messages: 47 314
    • Twitter LaFibre.info
Tuto: Remplacer sa freebox (non Delta) par un routeur Vyos en ZMD (10G-EPON)
« Réponse #4 le: 30 juin 2023 à 19:52:55 »
Superbe routeur...
IP archivée

simon

  • Abonné Orange Fibre
  • *
  • Messages: 935
Tuto: Remplacer sa freebox (non Delta) par un routeur Vyos en ZMD (10G-EPON)
« Réponse #5 le: 30 juin 2023 à 20:15:48 »
Nice build. Comment se monte la carte SFP sous le routeur ? Tu as fait un bracket custom ? Tu as une nappe qui rentre par le dessous du boitier sur un port PCIe ?
IP archivée

sorg

  • Abonné Free adsl
  • *
  • Messages: 40
Tuto: Remplacer sa freebox (non Delta) par un routeur Vyos en ZMD (10G-EPON)
« Réponse #6 le: 30 juin 2023 à 20:21:15 »
C'est une carte sfp sur port mini pcie.

https://a.aliexpress.com/_mMeQA3a

Comme elle ne tient pas dans le boitier, j'ai imprimé une rehausse pour installer la carte ou est le connecteur SFP.
IP archivée
Pages: [1]   En haut