Auteur Sujet: Orange DHCP conformité protocolaire 2023 - lire depuis le début du sujet (Lu 303000 fois)

Breizh29 · « **Réponse #1308 le:** 25 avril 2025 à 20:08:47 »

J'avais commencé à étudier ton tuto complet (a la base, je suis plutôt Linux que BSD), et j'ai hésité.

Alors, oui, honnêtement, l'absence d'ihm a joué. Plus par crainte de ne pas savoir faire en ligne de commande, de ne pas avoir les connaissances suffisantes, de perdre les tableaux de bord, outils statistiques, plugins...
Comme j'aime expérimenter les fonctionnalités, mais que je suis pas un habitué de networkd et cie, l'absence d'ihm rend les choses plus longues et moins pratiques je trouve. L'apprentissage sera lassez ong.

En outre, je suis en multiwan, failover cellulaire. Je ne pense pas savoir comment faire cela avec Linux sans y consacrer des jours homme de travail.

Par ailleurs, j'ai configuré le décodeur TV, ce que j'aurai aussi du mal à faire je suppose (proxy IGMP).

Tout cela représenterait un défi sympa, mais j'ai besoin d'un truc assez rapidement opérationnel, et je n'ai pas suffisamment de temps à y consacrer pour aboutir dans un temps raisonnable.

Bref, je réfléchis et pèse le pour et le contre.

Merci pour ta suggesion.

Mastah · « **Réponse #1309 le:** 25 avril 2025 à 20:55:19 »

Citation de: Breizh29 le 25 avril 2025 à 20:08:47

J'avais commencé à étudier ton tuto complet (a la base, je suis plutôt Linux que BSD), et j'ai hésité.

Alors, oui, honnêtement, l'absence d'ihm a joué. Plus par crainte de ne pas savoir faire en ligne de commande, de ne pas avoir les connaissances suffisantes, de perdre les tableaux de bord, outils statistiques, plugins...
Comme j'aime expérimenter les fonctionnalités, mais que je suis pas un habitué de networkd et cie, l'absence d'ihm rend les choses plus longues et moins pratiques je trouve. L'apprentissage sera lassez ong.

En outre, je suis en multiwan, failover cellulaire. Je ne pense pas savoir comment faire cela avec Linux sans y consacrer des jours homme de travail.

Par ailleurs, j'ai configuré le décodeur TV, ce que j'aurai aussi du mal à faire je suppose (proxy IGMP).

Tout cela représenterait un défi sympa, mais j'ai besoin d'un truc assez rapidement opérationnel, et je n'ai pas suffisamment de temps à y consacrer pour aboutir dans un temps raisonnable.

Bref, je réfléchis et pèse le pour et le contre.

Merci pour ta suggesion.

Pour info mon tuto tu copies / colles bêtement et tu es sur à 100% d'avoir une connexion.

Ca tombe bien pour le multi wan, j'ai un tuto linux sur comment failover avec un service systemd

=> https://github.com/akhamar/pikvm-failover c'est bien entendu à adapter en fonction des besoins (ce tuto étant pour un pikvm, mais dans l'ensemble cela seras probablement un copier coller aussi)
Globalement tu n'as besoin de faire les explications qu'a partir d'ici : https://github.com/akhamar/pikvm-failover?tab=readme-ov-file#failover

Et la bonne nouvelle c'est que tu peux utiliser un autre HDD/SSD pour installer Debian et config le tout, tout en conservant BSD au cas ou ... dual boot.

Breizh29 · « **Réponse #1310 le:** 25 avril 2025 à 23:31:34 »

Merci, je vais regarder ça en complément.
La difficulté réside aussi sur le failover pour la connectivité IPv6 (DHCP côté WAN pour la fibre, SLAAC pour le lien backup) à transmettre par RA sur le LAN.

Me resterait :
- Hairpin NAT (c'est facile, ça, en networkd ?) pour atteindre mes services (en particulier DoT depuis Android) avec le nom de domaine public, que ce soit en externe ou en interne.
- Scripter des alertes sur le lien backup qui est du cellulaire (5G), avec enveloppe data limitée (rapports réguliers, alertes quand on s'approche / atteint l'enveloppe)
- Implémenter ddclient (pour DNS OVH / Cloudflare)
- Implémenter wireguard (un serveur, et idéalement un tunnel client pour avoir une IP fixe publique sur le lien backup)
- Décodeur TV (proxy IGMP...) même si ce n'est pas le plus indispensable pour moi
... et sans doute quelques autres trucs que j'ai oubliés

Citation de: Mastah le 25 avril 2025 à 20:55:19

Et la bonne nouvelle c'est que tu peux utiliser un autre HDD/SSD pour installer Debian et config le tout, tout en conservant BSD au cas ou ... dual boot.

Ça, c'est un des rares trucs que je n'identifie pas en problème: mon OPNsense est déjà sur une VM d'un Proxmox, dans laquelle je passe les NIC en passthrough (2 SFP+ 10G LAN/WAN principaux, 2 RJ45 2.5G LAN TV/WAN backup), et ça fonctionne très bien.
Donc le Debian, ben ce serait une autre VM similaire sur le principe.

basilix · « **Réponse #1311 le:** 26 avril 2025 à 11:55:05 »

Citation de: levieuxatorange le 24 avril 2025 à 09:20:30

Suite à plusieurs questions dans le forum, j'ai précisé l'algo préconisé pour le test de vie.
Celui fait par la LB en fait
Voir le message #2 de ce thread

Citation de: levieuxatorange le 08 novembre 2022 à 09:18:30
Préconisation d'algo pour les tests de vie :
IPv4 : faire une séquence ARP Request / Reply vers l'adresse du routeur donné en DHCPv4
IPv6 : faire une séquence ICMP6 NS/NA de fe80::ba0:bab
Pour chacun des deux stack
faire une séquence toutes les 120s
en cas de non réponse au bout de 10s , faire 2 répétitions
au 3ème timeout (donc au total 150s de timeout), considérer que la liaison est en échec
relancer CE stack
les req ARP et ICMPv6 doivent être faite avec la COS6

LeVieux

J'avais essayé de comprendre comment cela fonctionnait. Il ne manquait que la coupure réseau, c'est-à-dire une partie importante de l'algorithme.

Breizh29 · « **Réponse #1312 le:** 27 avril 2025 à 18:32:09 »

Hello,

Bon, j'ai refait des tests ce jour, et j'ai réussi à refaire fonctionner le bouzin, mais je n'ai pas (encore ?) compris le souci de fonds.

Je ne comprenais pas pourquoi je ne voyais pas les requêtes dhcp sur les logs firewall.
Du coup, je me suis mis à faire du tcpdump sur la VM OPNsense.

Et, là, miracle, je voyais du trafic, plein de trafic, pas uniquement du dhcp.
Et je voyais mon IP publique apparaitre à chaque ligne ou presque !

Ne comprenant pas, je suis allé voir la vue Overview des interfaces, et les IPv4 et v6 étaient apparues comme par miracle.

Et, lorsque j'arrêtais tcpdump, je perdais la connectivité ?!

Après quelques recherches, je suis tombé là-dessus : https://forum.netgate.com/topic/67876/can-t-connect-to-lan-interface-unless-tcpdump-is-running
où quelqu'un mentionne que tcpdump fait passer l'interface en mode '"promiscuous".

J'ai donc tenté d'activer le mode sur l'interface, et ça fonctionne.

J'imagine que ce n'est pas "normal" (et je ne sais pas s'il est souhaitable de conserver ce mode)... Qu'est-ce qui expliquerait qu'il me faut désormais activer ce mode pour que cela fonctionne ?

En tout cas, merci pour vos conseils.

Olivier34 · « **Réponse #1313 le:** 27 avril 2025 à 19:16:10 »

Pour le mode promiscusous qui doit être activé, ce n'est pas une histoire d'adresse MAC qui serait renseignée sur un VLAN mais pas sur l'interface parente ?

Breizh29 · « **Réponse #1314 le:** 27 avril 2025 à 22:06:01 »

Merci pour ton aide.

Je n'ai pas touché ces aspects depuis bien longtemps, mais je vais faire de nouveaux essais en positionnant la mac souhaitée à différents niveaux, et je vous tiendrai au courant.

EDIT : Après avoir forcé la mac voulue sur les interfaces wan, ça fonctionne sans le mode promiscuous. Ce qui est étrange, c'est que je n'avais pas touché à ces champs depuis des semaines. Le principal étant que ça fonctionne désormais.

toine512 · « **Réponse #1315 le:** 30 avril 2025 à 17:36:30 »

Citation de: halesk2k le 08 mars 2025 à 01:11:19

1 an, comme l'IPv4.

Je confirme : chez moi le préfixe a changé au bout d'1 an, d'ailleurs le suivant est pour bientôt.

(Salut ! Ça faisait longtemps.)

toine512 · « **Réponse #1316 le:** 30 avril 2025 à 17:58:11 »

Supprimé : hors sujet.

halesk2k · « **Réponse #1317 le:** 01 mai 2025 à 16:19:40 »

Citation de: toine512 le 30 avril 2025 à 17:58:11

Tu vas vite te rendre compte que IPv6 est formidable et que le monde n'est vraiment pas prêt.

Je n'ai aucun doute qu'IPv6 est formidable, mon réseau est natif IPv6 et certain de mes services visibles depuis Internet ne sont accessibles qu'en IPv6.

Les reproches, c'est vis à vis de l' "IPv6... by Orange".

Vis à vis de tes solutions, je suis désolé mais c'est de la bidouille et ca ne répond que très partiellement au problème. Le filtrage sur prefix uniquement ne fonctionne pas sur un Mikrotik. Il faut un service de DDNS qui permet de donner des droits fin pour ne pas avoir à filer le compte admin de la zone au client. Le service doit être sur un Linux avec systemd-networkd customisable (donc pas un Synology par exemple).

Sinon, tu peux partager le nom de ton client DDNS qui sait quelle IPv6 choisir quand il y a plusieurs prefix?

Floy · « **Réponse #1318 le:** 11 mai 2025 à 20:08:41 »

Citation de: Breizh29 le 27 avril 2025 à 18:32:09

Hello,

Bon, j'ai refait des tests ce jour, et j'ai réussi à refaire fonctionner le bouzin, mais je n'ai pas (encore ?) compris le souci de fonds.

Je ne comprenais pas pourquoi je ne voyais pas les requêtes dhcp sur les logs firewall.
Du coup, je me suis mis à faire du tcpdump sur la VM OPNsense.

Et, là, miracle, je voyais du trafic, plein de trafic, pas uniquement du dhcp.
Et je voyais mon IP publique apparaitre à chaque ligne ou presque !

Ne comprenant pas, je suis allé voir la vue Overview des interfaces, et les IPv4 et v6 étaient apparues comme par miracle.

Et, lorsque j'arrêtais tcpdump, je perdais la connectivité ?!

Après quelques recherches, je suis tombé là-dessus : https://forum.netgate.com/topic/67876/can-t-connect-to-lan-interface-unless-tcpdump-is-running
où quelqu'un mentionne que tcpdump fait passer l'interface en mode '"promiscuous".

J'ai donc tenté d'activer le mode sur l'interface, et ça fonctionne.

J'imagine que ce n'est pas "normal" (et je ne sais pas s'il est souhaitable de conserver ce mode)... Qu'est-ce qui expliquerait qu'il me faut désormais activer ce mode pour que cela fonctionne ?

En tout cas, merci pour vos conseils.

Hello !

Merci à tous pour vos retours, désolé je reviens assez tard après mon post initial, la Livebox faisant à peut près le job pour fournir l'accès et la vie étant assez prenante j'ai repoussé la maintenance de mon Pfsense.
J'ai testé et vérifié un peu toutes les suggestions postées ici ( COS6 qui était déjà bien paramétrée chez moi, le mode Promiscuous, activer le DHCP6 vu que je n'ai que le 4 d'actif, etc .. mais rien ne changeait, toujours aucun retour sur le DHCP Request).

Du coup j'ai commencé à suspecter mon ONT, j'ai essayé de le brancher direct à la Livebox et .. humm tiens tiens, ça ne marchait pas non plus.
Puis je me suis souvenu que lors que j'ai rebranché ma Livebox il y a eu plusieurs Maj et reboot avant qu'elle ne fournisse un accès.
Je suis allé vérifier et les ONT software version 0 et 1 avaient changé par rapport à ma configuration d'origine. Donc j'ai calqué les versions de ma livebox dans mon ONT, et hop tout a refonctionné direct.

Orange a l'air de vérifier les version de maj de l'ONT de la Livebox avant de bien vouloir fournir un accès maintenant !
J'ai aussi changé le HW_HWVER pour mettre celui de ma box, ce n'était pas le cas initialement, il était resté d'origine en LEOX, ça marchait sans depuis ~ 1an .
En tout cas jusqu'à il y a quelque semaines je n'avais pas besoin de ces informations dans l'ONT pour qu'il soit accepté sur le réseau !

| Hardware Version | SMBSSGLB6110 |
| --------------------------- | -------------------- |
| 9.15 | ONT Software Version 0 | SAHEOFR070203 |
| ---- | --------------------------- | -------------------- |
| 9.16 | ONT Software Version 1 | SAHEOFR070102 |

Merci à tous !
Cordialement,

Mastah · « **Réponse #1319 le:** 12 mai 2025 à 01:12:06 »

Citation de: Floy le 11 mai 2025 à 20:08:41

Je suis allé vérifier et les ONT software version 0 et 1 avaient changé par rapport à ma configuration d'origine. Donc j'ai calqué les versions de ma livebox dans mon ONT, et hop tout a refonctionné direct.

Orange a l'air de vérifier les version de maj de l'ONT de la Livebox avant de bien vouloir fournir un accès maintenant !

Non

Tu avais un ONT en O5.1 (sinon tu n'aurais pas eu de réponse au DHCP puisque tu as obtenu un 172.xx.xx.xx). Une fois l'ONT en O5.1 tu as un lien physique ONT<->OLT et ensuite c'est le lien IP qui prend le relais.
Tu n'avais pas d'IP car tu as probablement cramer toutes tes lease DHCP sans les rendre (release) et tu as du attendre une semaine avant de pouvoir faire une nouvelle demande (qui à fonctionné car timeout de tes précédentes lease).

Je répète donc :
- Orange s'en cogne des soft version, il n'y a que 3 param de vraiment important (serial, hardware version, vendor version)
- Tu avais une mauvaise config DHCP + COS6 + MAC addr et tu as cramer l'ensemble de tes lease DHCP