Tu as des switchs intermédiaires ?

Effectivement, mais ils ne sont pas manageable. Je pense qu'ils sont probablement la cause de ce problème

Bonjour,

Après quelques galères, j'ai réussi à faire fonctionner l'IPv6 sur OPNSense + Sosh en me basant sur cette doc : https://docs.opnsense.org/manual/how-tos/orange_fr_fttp.html

Par contre, j'ai une question en voyant que le mode "Track interface" pour la configuration du LAN est dépréciée. Est-ce que vous êtes en Track interface dans vos routeurs, ou est-ce qu'on peut utiliser autre chose ?

Amicalement.

Bonjour

Le "track Interface" est remplacé par une autre mode "constructor" avec dnsmasq qui peut faire aussi router advertisement

je n'ai pas encore migré sur la 26.1 à cause de cela car ISC est aussi déprécié et je dois migré vers dnsmasq

Dans la conf ipv6 du dhcp pour orange, j'ai ajouté
Optional prefix ID à 0x 0 => si 0 n'est pas assigné dans vos autres "track interface"

cela permet d'avoir une ipv6 sur l'interface WAN joignable depuis internet et donc d'utiliser des services reverse proxy comme nginx, le ddns ... sur opnsense

visiblement les modifs suivantes ont eu un effet positif:
- migration de "track interface" vers "indentity association" sur les interfaces
- router advertisement pour chaque vlan interne en "assisted" avec les valeurs par défaut
- règle in sur interface wan838 UDPv6 de fe80::ba0:bab/128 vers "this firewall" sur le port 546 (dhcpv6) (honteusement plagié du topic router os / mikrotik)

c'est stable depuis hier, alors que l'ipv6 disparaissait rapidement.
edit: finalement non, c'est tombé ce soir.
edit2: retrait des deux premiers 00 dans l'option 15. pas de perte du préfixe depuis 5 jours

Bonjour,

Je vous sollicite car je suis bloqué sur un remplacement de Livebox Orange par un module LEOX branché en direct sur un OPNsense, avec un comportement DHCP qui s'est arrêté sans raison apparente après avoir fonctionné plusieurs fois. Je vous expose le contexte et le souci, si vous avez une piste je suis preneur.

Contexte

• Remplacement de la Livebox Orange (Arcadyan) par un module LEOX LXT-010H-D (clone d'ONT), branché directement en fibre sur un OPNsense 24.7.12_4-amd64.

Ce qui fonctionne

• LEOX configuré avec les paramètres clonés de la Livebox (GPON_SN, PON_VENDOR_ID, HW_HWVER, OMCC_VER, OMCI_SW_VER1/2, OMCI_TM_OPT, OMCI_OLT_MODE), récupérés via l'admin de la Livebox avant coupure.
• Ranging GPON complet, ONU en état Operation (O5), OMCI confirme un OLT Alcatel-Lucent (OltVendorId: ALCL).
• Côté OPNsense : interface WAN sur VLAN 832 tagué (parent igc0), MAC spoofée à l'identique de la Livebox, priorité 802.1p/CoS mise à 6 (Internetwork Control) — vérifiée appliquée au niveau système (vlanpcp: 6).

Configuration DHCP (OPNsense, interface WAN → onglet DHCP)

Champ "Send Options" (options envoyées lors de la requête) :
dhcp-class-identifier "arcadyan",user-class "2FSVDSL_livebox.Internet.softathome.LiveboxNautilus",option-90 <valeur hex clonée depuis ma Livebox, masquée>,dhcp-client-identifier 01:XX:XX:XX:XX:XX:XX

Champ "Request Options" (juste en dessous, options demandées au serveur) :
subnet-mask,broadcast-address,dhcp-lease-time,dhcp-renewal-time,dhcp-rebinding-time,domain-search,routers,domain-name-servers,option-90,domain-name,option-120,option-125

Résultat obtenu
Plusieurs baux DHCP complets et valides avec l'IP publique attendue (identique à celle de la Livebox), obtenus à plusieurs reprises sur une fenêtre d'environ 1h.

Problème actuel
Après plusieurs tests/reconfigurations rapprochées (configctl interface reconfigure wan répété), le DHCP ne répond plus du tout : dhclient part en TIMEOUT (aucun DHCPOFFER reçu), retombe sur l'ancien bail en cache, puis l'invalide (FAIL). Le cycle se répète toutes les 5-6 min depuis, sans changement de config MAC/VLAN/CoS entre-temps. Plus aucune erreur de syntaxe dans les options envoyées.

14:04:59 dhclient-script: Reason FAIL on vlan0.832 executing
14:04:56 dhclient-script: New IP Address (vlan0.832): 86.214.198.22
14:04:56 dhclient-script: Reason TIMEOUT on vlan0.832 executing

Ma question
Est-ce un comportement connu de mise en quarantaine anti-flood côté OLT/BNG Orange après plusieurs changements de MAC/client-id rapprochés sur la même ligne PON ? Si oui, quel délai avant déblocage constatez-vous en général ? Une autre piste sur cet arrêt soudain de réponse DHCP sans changement de config ?

Merci d'avance pour votre aide !

Orange FTTH : remplacer une Livebox S par OPNsense + LEOX LXT-010H-D – Internet + TV + Replay

Bonjour,

Je partage ma configuration permettant de retirer complètement ma Livebox S et d'utiliser directement OPNsense derrière un ONT LEOX LXT-010H-D.

Résultat :

Internet Orange : OK
Décodeur TV Orange : OK
TV en direct : OK
Replay / VOD : OK
Mises à jour du décodeur : OK
Livebox retirée : OK

Ma configuration :

Orange FTTH
ONT : LEOX LXT-010H-D
OPNsense : 26.7.3_11
Interface fibre : igc0
VLAN Internet : 832
VLAN TV multicast : 840
Port décodeur : igc3
OLT : ALCL
Livebox : Livebox S / Livebox Nautilus

Certaines données sont propres à chaque abonnement et sont donc anonymisées ici :

VOTRE_GPON_SN
VOTRE_OPTION_90
MAC_LIVEBOX
SERIAL_LIVEBOX
VOTRE_OPTION_125


1. Récupérer les informations de la Livebox avec GO-BOX

Avant de retirer la Livebox, j'ai utilisé l'outil GO-BOX pour l'interroger et récupérer les informations nécessaires à son remplacement.

Le PC/Mac utilisé doit être connecté au réseau de la Livebox.

GO-BOX permet notamment de récupérer les informations qui serviront ensuite à configurer le LEOX et OPNsense :

- informations GPON / ONT
- MAC WAN de la Livebox
- numéro de série de la Livebox
- ProductClass
- informations nécessaires à l'authentification DHCP Orange / option 90

Dans mon cas :

ProductClass : Livebox Nautilus

Conservez toutes ces informations : elles seront utilisées pour programmer le LEOX, configurer le WAN Orange et construire l'option DHCP 125 du décodeur.

Sur macOS, si nécessaire, Git et Go peuvent être installés avec :

brew install git go

Récupérez ensuite GO-BOX depuis son dépôt GitHub et suivez les instructions du projet pour interroger votre Livebox.

Je ne mets volontairement pas ici une ligne de commande GO-BOX dont la syntaxe pourrait varier suivant la version utilisée.

Attention : ne publiez pas votre mot de passe Livebox, votre GPON_SN complet, votre option 90 complète ou les autres identifiants propres à votre accès.


2. Configurer le LEOX LXT-010H-D

Le LEOX est accessible en Telnet sur son adresse de management (configurez votre ordi en IP fixe sur une IP du réseau comme 192.168.100.10, masque 255.255.255.0):

telnet 192.168.100.1

Utilisez les identifiants correspondant à votre LEOX (par défaut : User = leox, mot de passe = leolabs_7).

La configuration présente dans la mémoire flash peut être affichée avec :

flash all

Programmez ensuite votre numéro de série GPON :

flash set GPON_SN VOTRE_GPON_SN

Puis les paramètres suivants :

flash set PON_VENDOR_ID ARLT
flash set HW_HWVER ARLTLBN100
flash set GPON_PLOAM_PASSWD DEFAULT012
flash set OMCI_TM_OPT 0
flash set OMCI_OLT_MODE 1
flash set OMCI_SW_VER1 SAHNOFR010216
flash set OMCI_SW_VER2 SAHNOFR010901
flash set OMCC_VER 128

Redémarrez ensuite le LEOX :

reboot

Dans ma configuration, le LEOX se synchronise en O5 sur un OLT Orange ALCL.


3. Interface physique Orange dans OPNsense

Dans :

Interfaces > Assignments

assignez l'interface physique reliée au LEOX :

Device : igc0
Description : Orange_Parent

Configuration :

Enable Interface : coché
IPv4 Configuration Type : None
IPv6 Configuration Type : None
MAC address : MAC WAN de la Livebox
Promiscuous mode : décoché
MTU : vide
MSS : vide
Speed and duplex : Default

Le point important est de mettre le MAC WAN de la Livebox sur le parent physique igc0.

Les VLAN enfants héritent ainsi de ce MAC.


4. VLAN Internet 832

Dans :

Interfaces > Devices > VLAN

créez :

Parent : igc0
VLAN tag : 832
VLAN priority : 0

Affectez ce VLAN à l'interface WAN.

Configuration WAN :

IPv4 Configuration Type : DHCP
MTU : 1520
MAC address : vide
Promiscuous mode : décoché

Le champ MAC reste vide sur le WAN puisque le MAC de la Livebox est porté par igc0.


5. DHCP Orange

Dans les paramètres DHCPv4 avancés du WAN :

Send Options :

dhcp-class-identifier "arcadyan",user-class "2FSVDSL_livebox.Internet.softathome.LiveboxNautilus",option-90 VOTRE_OPTION_90,dhcp-client-identifier 01:AA:BB:CC:DD:EE:FF

Remplacez :

VOTRE_OPTION_90
AA:BB:CC:DD:EE:FF

par votre option 90 et le MAC WAN de votre Livebox.

Le préfixe :

01:

du DHCP Client Identifier est volontaire.

Le "2" devant FSVDSL est également volontaire :

user-class "2FSVDSL_livebox.Internet.softathome.LiveboxNautilus"

Request Options :

subnet-mask,broadcast-address,dhcp-lease-time,dhcp-renewal-time,dhcp-rebinding-time,domain-search,routers,domain-name-servers,option-90,domain-name,option-120,option-125

Priorité DHCP :

Le VLAN 832 reste :

VLAN priority : 0

Mais dans le client DHCP WAN :

Use VLAN priority : Internetwork Control (6)

Le DHCP Orange est ainsi envoyé en PCP6.


6. TV Orange : VLAN 840

Dans ma configuration :

VLAN 832 = Internet + Replay / VOD
VLAN 840 = TV en direct / multicast

Je n'utilise pas le VLAN 838 pour la TV.

Certains anciens tutoriels Orange utilisent encore les VLAN 838 + 840, mais le 838 n'est pas nécessaire dans ma configuration actuelle.

Dans :

Interfaces > Devices > VLAN

créez :

Parent : igc0
VLAN tag : 840
VLAN priority : Voice (5)

Affectez-le ensuite à une interface :

Description : Orange_TV_840
IPv4 Configuration Type : Static IPv4
IPv4 address : 192.168.84.1/24
IPv6 Configuration Type : None
Gateway : None


7. Port dédié au décodeur Orange

J'utilise igc3 exclusivement pour le décodeur.

Dans :

Interfaces > Assignments

configuration :

Device : igc3
Description : Orange_TV_Decodeur
IPv4 Configuration Type : Static IPv4
IPv4 address : 192.168.3.1/24
IPv6 Configuration Type : None
Gateway : None


8. DHCP du décodeur

J'utilise ISC DHCPv4 sur Orange_TV_Decodeur :

Subnet : 192.168.3.0/24
Range : 192.168.3.2 - 192.168.3.254
Gateway : 192.168.3.1

DNS :
80.10.246.132
81.253.149.2

Il faut également fournir l'option DHCP 125.

Elle contient notamment les informations suivantes :

Enterprise Number : 3561
OUI : 3 premiers octets du MAC WAN Livebox
SerialNumber : numéro de série Livebox
ProductClass : Livebox Nautilus

Dans ISC DHCP :

Number : 125
Type : String
Value : VOTRE_OPTION_125

Cette valeur doit être construite avec les informations de VOTRE Livebox.

Dans mon cas, la structure utilisée pour l'option 125 est :

00:00:0d:e9
2b
04:06:XX:XX:XX:XX:XX:XX
05:0f:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX
06:10:4c:69:76:65:62:6f:78:20:4e:61:75:74:69:6c:75:73

avec :

00:00:0d:e9 = Enterprise Number 3561
04 = OUI
05 = SerialNumber
06 = ProductClass

Le ProductClass :

Livebox Nautilus

est encodé en ASCII/hexadécimal dans la dernière partie.


9. Installer et configurer IGMP Proxy

Installez le plugin :

os-igmp-proxy

Puis :

Services > IGMP Proxy

Créez l'upstream :

Interface : Orange_TV_840
Type : Upstream
Threshold : 1

Networks :
0.0.0.0/1
128.0.0.0/1

Puis le downstream :

Interface : Orange_TV_Decodeur
Type : Downstream
Threshold : 1
Network : 192.168.3.0/24

Le fichier généré ressemble à :

quickleave

phyint vlan0.840 upstream ratelimit 0 threshold 1
altnet 0.0.0.0/1
altnet 128.0.0.0/1

phyint igc3 downstream ratelimit 0 threshold 1
altnet 192.168.3.0/24


10. Firewall du VLAN 840

Dans :

Firewall > Rules > Orange_TV_840

Ajoutez une règle IGMP :

Action : Pass
Direction : In
TCP/IP Version : IPv4
Protocol : IGMP
Source : any
Destination : any
Gateway : None

Ajoutez ensuite une règle pour les flux TV :

Action : Pass
Direction : In
TCP/IP Version : IPv4
Protocol : UDP
Source : any
Destination : 232.0.0.0/8
Destination port : any
Gateway : None

POINT TRÈS IMPORTANT :

Dans les options avancées de cette règle UDP, cochez :

Allow options

Sans "Allow options", Orange envoyait bien les flux multicast sur le VLAN 840, mais PF les bloquait et le décodeur n'affichait pas l'image.

Après activation de "Allow options", l'image TV est apparue immédiatement.


11. Firewall du réseau décodeur

Le décodeur doit pouvoir accéder à Internet :

Action : Pass
TCP/IP Version : IPv4
Protocol : any
Source : Orange_TV_Decodeur net
Destination : any

J'ai personnellement placé avant cette règle des BLOCK vers mes autres VLAN afin d'isoler le décodeur du reste de mon réseau.


12. NAT

J'utilise :

Firewall > NAT > Source NAT
Hybrid Source NAT rule generation

OPNsense génère automatiquement le NAT du réseau :

192.168.3.0/24

vers le WAN.

Pas de NAT spécifique pour le multicast du VLAN 840.


13. Architecture finale

Fibre Orange
     |
LEOX LXT-010H-D
     |
     |
igc0 / Orange_Parent
MAC = MAC WAN Livebox
IPv4 = None
IPv6 = None
Promiscuous = OFF
     |
     +-----------------------------+
     |                             |
VLAN 832 PCP0                 VLAN 840 PCP5
     |                             |
WAN DHCP                      192.168.84.1/24
DHCP Orange PCP6                   |
     |                        IGMP Proxy
Internet                           |
Replay / VOD                      igc3
                                   |
                              192.168.3.1/24
                                   |
                              Décodeur Orange


14. Résultat

Avec cette configuration :

LEOX synchronisé O5 : OK
Internet IPv4 Orange : OK
Décodeur Orange : OK
Activation / mises à jour : OK
TV en direct : OK
Replay / VOD : OK
Livebox retirée : OK


15. Points importants

• Récupérer les informations de sa Livebox avec GO-BOX avant de la retirer.
• Programmer le LEOX avec les informations de son propre accès Orange.
• Dans ma configuration, OMCC_VER=128.
• Mettre le MAC WAN Livebox sur le parent igc0, pas directement sur le VLAN 832.
• VLAN 832 en PCP0 mais DHCP Orange en PCP6.
• Conserver le "2" devant FSVDSL dans le User-Class OPNsense.
• VLAN 840 en PCP5 pour le multicast TV.
• VLAN 838 non utilisé dans cette configuration.
• Option DHCP 125 nécessaire au décodeur.
• IGMP Proxy entre VLAN 840 et le réseau du décodeur.
• Activer "Allow options" sur la règle UDP multicast du VLAN 840.

En espérant que ce retour puisse servir à d'autres.