Auteur Sujet: La fibre Orange à 2Gbps, sur un routeur MikroTik 10Gbps CCR2004, via un ONT SFP+ (Lu 937897 fois)

Serveurperso · « **Réponse #3540 le:** 18 mai 2022 à 18:22:17 »

J'ai tenté de reprendre le "HWVer" de mon HG8010Hv3 qui fonctionne parfaitement, pour l'ONU FS.com en respectant le padding :

Code: [Sélectionner]

root@SFP:/etc/mibs# diff data_1g_8q.ini.bak data_1g_8q.ini
--- data_1g_8q.ini.bak
+++ data_1g_8q.ini
@@ -12,7 +12,7 @@


 # ONT-G
-256 0 HWTC 0000000000000 00000000 2 0 0 0 0 #0
+256 0 HWTC HWTCA17C6A\0\0\0 00000000 2 0 0 0 0 #0

 # ONT2-G
 # Begin: modified by Sean.Chen for Reliance bug 373267 on 20170628

gtop puis c et v :

Code: [Sélectionner]

GPE VLAN

Name:        ONU_GPE_VLAN_TABLE
ID:          18
no;pcp;dei;vid;vlan_meter_enable;vlan_meter_id;end

gtop puis c et y :

Code: [Sélectionner]

GPE VLAN treatment

Name:        ONU_GPE_VLAN_TREATMENT_TABLE
ID:          43
;;;;tagb;tagb;tagb;taga;taga;taga
no;inner not generate;outer not generate;discard enable;tpid;vid;treatment;tpid;vid;treatment

Toujours pas les VLAN d'Orange:(

root@SFP:/home/ONTUSER# onu gtcsng
errorcode=0 serial_number=HWTCxxxxba9f (serial de mon HG8010Hv3)

pinomat · « **Réponse #3541 le:** 18 mai 2022 à 18:36:06 »

Citation de: Serveurperso le 18 mai 2022 à 18:22:17

Toujours pas les VLAN d'Orange:(

root@SFP:/home/ONTUSER# onu gtcsng
errorcode=0 serial_number=HWTCxxxxba9f (serial de mon HG8010Hv3)

C'est pas quelque chose comme SCOMxxxxxxxx ? En tout cas, c'est ce que j'ai récupéré du FGS202 ! Mais vu que t'es O5, normalement, c'est que ton serial est OK.

Je n'ai jamais vérifié si l'ONU "voyait" les VLAN comme toi. T'es sûr que t'as pas un problème de config DHCP (option 90) ou de CoS ?

Serveurperso · « **Réponse #3542 le:** 18 mai 2022 à 18:46:05 »

Comme dit par "Aize147" à la page https://lafibre.info/remplacer-livebox/guide-de-connexion-fibre-directement-sur-un-routeur-voire-meme-en-2gbps/2880/

Je cite "Pour le "ont_version" qui correspond au HWversion il faut que tu mettes "SMBSSGLBF121\0\0" ne t'entête pas à vouloir mettre le HWversion du Sercomm, ça ne fonctionnera pas."

Et donc avant de voir ton post pinomat, qui m'aurait aussi mis sur la piste du problème, je viens d'essayer avec :

Code: [Sélectionner]

256 0 SCOM SMBSSGLBF121\0\0 00000000 2 0 0 0 0 #0

et j'ai les VLAN dans mon ONU !!! magnifique !!!! victoire !!!! Heureusement qu'on a lafibre.info dit donc car c'est loin d'être plug'n'play...

C'est par contre bizarre qu'on ai un octet de trop par rapport à la chaîne de caractère d'origine comme montre ce diff sur mon ONU :

Code: [Sélectionner]

root@SFP:/home/ONTUSER# cd /etc/mibs
root@SFP:/etc/mibs# diff data_1g_8q.ini.bak data_1g_8q.ini
--- data_1g_8q.ini.bak
+++ data_1g_8q.ini
@@ -12,7 +12,7 @@


 # ONT-G
-256 0 HWTC 0000000000000 00000000 2 0 0 0 0 #0
+256 0 SCOM SMBSSGLBF121\0\0 00000000 2 0 0 0 0 #0

 # ONT2-G
 # Begin: modified by Sean.Chen for Reliance bug 373267 on 20170628
root@SFP:/etc/mibs# onu gtcsng
errorcode=0 serial_number=HWTC-----a9f

mon gtop est au top !! (gtop puis c et y) :

Code: [Sélectionner]

GPE VLAN treatment

Name:        ONU_GPE_VLAN_TREATMENT_TABLE
ID:          43
;;;;tagb;tagb;tagb;taga;taga;taga
no;inner not generate;outer not generate;discard enable;tpid;vid;treatment;tpid;vid;treatment
0;1;1;1; ;    ;15; ;    ;15
1;1;1; ;2; 852;  ; ;    ;15
2;1;1; ;2; 852; 1; ;    ;15
3;1;1; ;2; 852; 2; ;    ;15
4;1;1; ;2; 852; 3; ;    ;15
5;1;1; ;2; 852; 4; ;    ;15
6;1;1; ;2; 852; 4; ;    ;15
7;1;1; ;2; 852; 5; ;    ;15
8;1;1; ;2; 852; 7; ;    ;15
9;1;1; ;2;2800; 9; ;    ;15
10;1;1; ;2; 835; 9; ;    ;15
11; ; ;1; ;    ;15; ;    ;15
12;1;1;1;4;    ;15;4;    ;15
13;1; ; ; ;    ;15; ;    ;15
14; ; ; ; ;    ;15; ;    ;15
64;1;1; ;6; 851;  ; ;    ;15
65;1;1; ;6; 851; 1; ;    ;15
66;1;1; ;6; 851; 2; ;    ;15
67;1;1; ;6; 851; 3; ;    ;15
68;1;1; ;6; 851; 4; ;    ;15
69;1;1; ;6; 851; 5; ;    ;15
70;1;1; ;6; 851; 6; ;    ;15
71;1;1; ;6; 851; 7; ;    ;15
72;1;1; ;6; 832; 9; ;    ;15
73;1;1; ;6; 835; 9; ;    ;15
74;1;1; ; ;    ;15; ;    ;15
75;1;1; ; ;    ;15; ;    ;15
76;1; ; ; ;    ;15; ;    ;15
77; ; ; ; ;    ;15; ;    ;15

J'ai fait attention comme un gros maniaque à garder le timestamp du filesystem pour le fichier "data_1g_8q.ini.bak" qui restera l'original (mv fait avant cp) lol
C'est fou ce petit pico nano ordinateur linux qui rentre dans un SFP, faut y faire gaffe j'aimerais pas me retrouver enfermé dehors (cad. bricked) !!!

Code: [Sélectionner]

root@SFP:/etc/mibs# ls -l
-rw-r--r--    1 root     root         13983 Sep 18 02:27 alu_data_1g_8q.ini
-rw-r--r--    1 root     root         15134 Sep 18 02:27 alu_data_2g_8q.ini
-rw-r--r--    1 root     root         17990 Sep 18 02:27 alu_data_4g_8q.ini
-rw-r--r--    1 root     root         14243 Sep 18 02:27 alu_voice_1g_8q.ini
-rw-r--r--    1 root     root         15698 Sep 18 02:27 alu_voice_2g_8q.ini
-rw-r--r--    1 root     root         18606 Sep 18 02:27 alu_voice_4g_8q.ini
-rw-r--r--    1 root     root          8711 Sep 18 02:27 data_1g_4q.ini
-rw-r--r--    1 root     root         13559 Sep 18 07:26 data_1g_8q.ini
-rw-r--r--    1 root     root         13556 Sep 18 02:27 data_1g_8q.ini.bak
-rw-r--r--    1 root     root         13556 Sep 18 02:27 data_1g_8q_us1280_ds512.ini
-rw-r--r--    1 root     root         13556 Sep 18 02:27 data_1g_8q_us640_ds512.ini
-rw-r--r--    1 root     root          8783 Sep 18 02:27 data_1v_4q.ini
-rw-r--r--    1 root     root         12995 Sep 18 02:27 data_1v_8q.ini
-rw-r--r--    1 root     root          9910 Sep 18 02:27 data_2g_4q.ini
-rw-r--r--    1 root     root         14070 Sep 18 02:27 data_2g_8q.ini
-rw-r--r--    1 root     root          9987 Sep 18 02:27 data_2v_4q.ini
-rw-r--r--    1 root     root         14145 Sep 18 02:27 data_2v_8q.ini
-rw-r--r--    1 root     root         12149 Sep 18 02:27 data_4g_4q.ini
-rw-r--r--    1 root     root         16362 Sep 18 02:27 data_4g_8q.ini
-rw-r--r--    1 root     root         12390 Sep 18 02:27 data_4v_4q.ini
-rw-r--r--    1 root     root         16603 Sep 18 02:27 data_4v_8q.ini
-rw-r--r--    1 root     root         16734 Sep 18 02:27 data_8g_4q.ini
-rw-r--r--    1 root     root         13200 Sep 18 02:27 ds_data_1g_8q.ini
-rw-r--r--    1 root     root         14092 Sep 18 02:27 trunk_2g_8q.ini
-rw-r--r--    1 root     root          9329 Sep 18 02:27 voice_1g_4q.ini
-rw-r--r--    1 root     root         13541 Sep 18 02:27 voice_1g_8q.ini
-rw-r--r--    1 root     root          9399 Sep 18 02:27 voice_1v_4q.ini
-rw-r--r--    1 root     root         13611 Sep 18 02:27 voice_1v_8q.ini
-rw-r--r--    1 root     root         10472 Sep 18 02:27 voice_2g_4q.ini
-rw-r--r--    1 root     root         14636 Sep 18 02:27 voice_2g_8q.ini
-rw-r--r--    1 root     root         10602 Sep 18 02:27 voice_2v_4q.ini
-rw-r--r--    1 root     root         14813 Sep 18 02:27 voice_2v_8q.ini
-rw-r--r--    1 root     root         12767 Sep 18 02:27 voice_4g_4q.ini
-rw-r--r--    1 root     root         16978 Sep 18 02:27 voice_4g_8q.ini
-rw-r--r--    1 root     root         13011 Sep 18 02:27 voice_4v_4q.ini
-rw-r--r--    1 root     root         17224 Sep 18 02:27 voice_4v_8q.ini

Je pense qu'on a la modif minimale (le patch du /etc/mibs/data_1g_8q.ini)
J'ai envie de tester en virant l'octet "\0" qui est clairement de trop !
Sachant qu'on a même pas besoin de modifier la ligne du dessous... (# ONT2-G \n 257 0 ${equipment_id} 0xa0 0 1 1 64 64 1 128 0 0x007f 0 0 48) Le ${equipment_id} qui reste avec les "0" d'origine.

Serveurperso · « **Réponse #3543 le:** 18 mai 2022 à 19:05:02 »

Bon OK ça fonctionne avec :

Code: [Sélectionner]

root@SFP:/home/ONTUSER# cd /etc/mibs
root@SFP:/etc/mibs# diff data_1g_8q.ini.bak data_1g_8q.ini
--- data_1g_8q.ini.bak
+++ data_1g_8q.ini
@@ -12,7 +12,7 @@


 # ONT-G
-256 0 HWTC 0000000000000 00000000 2 0 0 0 0 #0
+256 0 SCOM SMBSSGLBF121\0 00000000 2 0 0 0 0 #0

 # ONT2-G
 # Begin: modified by Sean.Chen for Reliance bug 373267 on 20170628
root@SFP:/etc/mibs#

Et la OK c'est développeur-intégrateur-maniaque approved. A l'octet près.

Hop j'ai mon IPv4

IP Address      80.12.-.-/24
Gateway      80.12.-.-
DHCP Server      80.10.247.48
Expires After      2d 23:55:35
Primary DNS      81.253.149.9
Secondary DNS      80.10.246.1

Mackila · « **Réponse #3544 le:** 18 mai 2022 à 21:55:09 »

Bien joué

!

Citation de: Serveurperso le 18 mai 2022 à 18:46:05

[...]C'est fou ce petit pico nano ordinateur linux qui rentre dans un SFP, faut y faire gaffe j'aimerais pas me retrouver enfermé dehors (cad. bricked) !!![...]

Au pire tu peux récupérer le bootloader en liaison série, c'est toujours récupérable

Serveurperso · « **Réponse #3545 le:** 18 mai 2022 à 22:31:48 »

Citation de: Mackila le 18 mai 2022 à 21:55:09

Bien joué !

Au pire tu peux récupérer le bootloader en liaison série, c'est toujours récupérable

-> Bon à savoir:)

Il me manque le NAT Loopback (qui permet l'accès a tout les services de mon serveur par son domaine résolu en IP publique depuis dans le réseau local...)

https://help.mikrotik.com/docs/display/ROS/NAT#NAT-HairpinNAT

/ip firewall nat
add action=masquerade chain=srcnat dst-address=192.168.0.2 out-interface=LAN protocol=tcp src-address=192.168.0.0/24

J'ai testé vite fait sans succès. IP du serveur 192.168.0.2 et réseau local en 192.168.0.0/24

IPv6 OK mais pas terminé (manque ouverture de port firewall filetering)
et truc cheloux je peux plus utiliser la première IPv6 pour mon serveur ce qui m'ennuie (RouterOS l'attribue en interne et il apparait un conflit dans dhcp client v6)

(conf v6 interface réseau sur le serveur, direct le "préfixe::" que je souhaite rendre accessible depuis l’extérieur, avec pfSense ça fonctionne)
iface enp2s0 inet6 static
address 2a01:XXXX:XXXX:e500::/64

DisasteR · « **Réponse #3546 le:** 19 mai 2022 à 17:59:57 »

Citation de: Serveurperso le 18 mai 2022 à 22:31:48

Il me manque le NAT Loopback (qui permet l'accès a tout les services de mon serveur par son domaine résolu en IP publique depuis dans le réseau local...)

https://help.mikrotik.com/docs/display/ROS/NAT#NAT-HairpinNAT

/ip firewall nat
add action=masquerade chain=srcnat dst-address=192.168.0.2 out-interface=LAN protocol=tcp src-address=192.168.0.0/24

J'ai testé vite fait sans succès. IP du serveur 192.168.0.2 et réseau local en 192.168.0.0/24

dans ton cas je pense qu'on serait plus sur un truc du genre d'apres la documentation :

/ip firewall nat add chain=dstnat action=dst-nat dst-address=<IP ORANGE> dst-port=443 to-addresses=192.168.0.2 to-ports=443 protocol=tcp > la regle de nat pour ton serveur par exemple.
/ip firewall nat add action=masquerade chain=srcnat dst-address=192.168.0.2 out-interface=LAN protocol=tcp src-address=192.168.0.0/24 > la regle qui permet de gerer le paquet retour en evitant les reponse directe

il faudrait donc que tu script pour modifier la premiere regle a chaque fois que l'ip que te fournit orange change dans la regle.
il doit aussi y avoir moyen de tricher avec le service Dyndns de mikrotik et un objet dns (ex: https://forum.mikrotik.com/viewtopic.php?t=159694#p784626) (mais je suis pas convaincu que ce soit la meilleure methode)

Serveurperso · « **Réponse #3547 le:** 19 mai 2022 à 18:48:18 »

Citation de: DisasteR le 19 mai 2022 à 17:59:57

dans ton cas je pense qu'on serait plus sur un truc du genre d'apres la documentation :

/ip firewall nat add chain=dstnat action=dst-nat dst-address=<IP ORANGE> dst-port=443 to-addresses=192.168.0.2 to-ports=443 protocol=tcp > la regle de nat pour ton serveur par exemple.
/ip firewall nat add action=masquerade chain=srcnat dst-address=192.168.0.2 out-interface=LAN protocol=tcp src-address=192.168.0.0/24 > la regle qui permet de gerer le paquet retour en evitant les reponse directe

il faudrait donc que tu script pour modifier la premiere regle a chaque fois que l'ip que te fournit orange change dans la regle.
il doit aussi y avoir moyen de tricher avec le service Dyndns de mikrotik et un objet dns (ex: https://forum.mikrotik.com/viewtopic.php?t=159694#p784626) (mais je suis pas convaincu que ce soit la meilleure methode)

J'suis en pro avec IP publique fixe, hébergement de SMTP et "config qui s'approche le plus possible d'un vrais dédié" oblige, notriche pour moi:) C'est top de préciser le cas IP dynamique sur le thread je vais me pencher de suite sur la conf de cette merveille de RouterOS:D

Un routeur déroutant pour les habitués de pfSense, mais pas tant que ça quand on veux être au plus proche de la logique du réseau:D

Ah mais quel gland j'avais attribué la mauvaise IPv6 a mon bridge-lan !
2a01:----:----:e500::/64 -> conflit avec l'ipv6 statique du serveur, celle utilisée par la conf ipv6 de mon domaine
à la place de :
2a01:----:----:e500::1/64 -> impec ! c'est la seconde IPv6 du pool pour mon bridge du mikrotik, comme fait gnubyte ! j'ai pas tout copier coller comme un bourrin je préfère tout refaire a la mano en essayant de comprendre quite à faire des conneries lol

Par contre hardcoder l'IPv4 publique dans les rêgles firewall v4 je trouve ça un peu moche, j'espère qu'il y a une autre soluce...

Mackila · « **Réponse #3548 le:** 19 mai 2022 à 20:16:33 »

Dans firewall > adress lists.

Ajouter un nom qui sera résolu sur l'IP publique.

Dans la construction des règles, utiliser Src/Dst. Adress List au lieu de Src/Dst Adress.

Serveurperso · « **Réponse #3549 le:** 19 mai 2022 à 21:14:49 »

Citation de: Mackila le 19 mai 2022 à 20:16:33

Dans firewall > adress lists.

Ajouter un nom qui sera résolu sur l'IP publique.

Dans la construction des règles, utiliser Src/Dst. Adress List au lieu de Src/Dst Adress.

C'est génial ça... je sais pas si c'est mieux que je change de thread pour tout ce qui est question d'utilisation de RouterOS car vu que j'ai la connexion IPv4 et IPv6 parfaitement OK ça commence a sortir du cadre de ce thread... (EDIT : mis à part l'ONU FS.com qui devrait donner un peu plus je trouve)

J'ai aussi la question du déplacement haut bas des entrées (que ce soit firewall ou autres) que j'ai pas trouvé sur l'IHM WebFig...

Et aussi en tant qu'habitué aux running-config startup-config à la Cisco versus l'application et sauvegarde immédiate et temps réel de toutes modification dans RouterOS si je me bloque j'serais bien deg de devoir tout hardreset (même si je garde un export compact)... ça doit être une bonne question d'ignorant et fréquente en RouterOS ça:)

Mackila · « **Réponse #3550 le:** 19 mai 2022 à 21:29:39 »

Je conseille de dédier une interface avec une config simple pour la configuration. Et puis on peut winbox-er en L2 avec l'adresse MAC. Faut vraiment le faire exprès pour être obligé de reset la config avec le bouton physique

Serveurperso · « **Réponse #3551 le:** 19 mai 2022 à 21:58:42 »

Citation de: Mackila le 19 mai 2022 à 21:29:39

Je conseille de dédier une interface avec une config simple pour la configuration. Et puis on peut winbox-er en L2 avec l'adresse MAC. Faut vraiment le faire exprès pour être obligé de reset la config avec le bouton physique

Très intéressant du coup ce winbox qui communique en L2 !!!! une tuerie je suis dessus j'adore:) ça répond donc a tout. me reste plus que de pouvoir changer ordre dans des rêges dans les pages firewall v4 et v6 et je m'estimerais aussi pépère qu'avec pfSense:) -> EDIT : Le drag'n'drop !!!! PTDR de pas avoir testé ça... encore mieux que pfSense avec ses flèches haut bas partout !!!!

Reste plus que l'ouverture de port dans firewall filter IPv6 qui ne fonctionne pas, ça sent le bug 7.3beta40 j'ai testé des exemples de conf firewall v6 from scrash sans succès... input fonctionne mais pas forward. et en input je peux voir des paquets arriver sur le compteur mais forcément ça forward pas j'ai aucun retour:( reste plus que ce problème bloquant pour foutre le pfSense à le retraite

EDIT : j'ai fini par comprendre que 2a01:----:----:e500::/128 ne fonctionne pas comme IPv6 de serveur j'ai du changer par 2a01:----:----:e500::2/128 (c'était peut être une connerie de le faire même si OK avec pfSense) Voici la conf minimale pour faire fonctionner le serveur, mais reste encore l'ipv6 sortant initié depuis le lan qui est bouffé par le drop final EDIT : j'ai ajouté add action=accept chain=forward comment=outgoing out-interface=bridge-wan sous le drop des invalid et ça fonctionne ! ce qui donne :

Code: [Sélectionner]

[admin@MikroTik] /ipv6/firewall> export compact
# may/20/2022 08:05:31 by RouterOS 7.3beta40
# software id = IB7D-31FH
#
# model = CCR2004-1G-12S+2XS
# serial number = C8----------79
/ipv6 firewall address-list
add address=2a01:----:----:e500::2/64 list=server
/ipv6 firewall filter
add action=accept chain=input dst-port=546 in-interface=bridge-wan protocol=udp src-address=fe80::ba0:bab/128
add action=accept chain=forward comment=established,related connection-state=established,related
add action=drop chain=forward comment=invalid connection-state=invalid
add action=accept chain=forward comment=outgoing out-interface=bridge-wan
add action=accept chain=forward comment=icmpv6 in-interface=bridge-wan protocol=icmpv6
add action=accept chain=forward dst-address-list=server dst-port=22 protocol=tcp
add action=accept chain=forward dst-address-list=server dst-port=25 protocol=tcp
add action=accept chain=forward dst-address-list=server dst-port=53 protocol=tcp
add action=accept chain=forward dst-address-list=server dst-port=53 protocol=udp
add action=accept chain=forward dst-address-list=server dst-port=80 protocol=tcp
add action=accept chain=forward dst-address-list=server dst-port=443 protocol=tcp
add action=drop chain=forward

j'ai quand même l'impression que l'ONU FS.com ne vas pas aussi vite qu'il le devrait, y'a un truc j'ai pas tout à fait l'UP que j'avais avec l'ONT 1Gbps !!! or que ça devrait monter au dessus de 1000 en up si c'était optimal ! A tester plus en comparaison à l'ONT avec ethernet 1Gbps, EDIT : OK après pleins de tests le matin c'est de l'ordre de 50Mbps... mais bizarre quand même, par contre sur le firewall je peux voir que l'interface est à plus de 1200Mbps quand le VLAN tourne dans les 950Mbps. gros overhead !