Auteur Sujet: TUTO - Refonte réseau avec un firewall Stormshield SN300  (Lu 25428 fois)

0 Membres et 1 Invité sur ce sujet

jeremyp3

  • Abonné Orange Fibre
  • *
  • Messages: 717
  • Pau (64)
Refonte réseau avec Livebox v5, Stormshield et TP-Link TL-SG2210P
« Réponse #12 le: 26 octobre 2019 à 00:04:33 »
Le SFP ONT est déjà bon, je l'ai depuis mon déménagement (passage d'un ONT Externe à un SFP ONT. Je vais donc l'utiliser sur le switch.
sauf que si tu passes à la Livebox 5, il faudra rendre le SFP :) du coup, tout est caduc ;)

Jerem

zoc

  • Abonné Orange Fibre
  • *
  • Messages: 4 288
  • Antibes (06) / Mercury (73)
Refonte réseau avec Livebox v5, Stormshield et TP-Link TL-SG2210P
« Réponse #13 le: 26 octobre 2019 à 08:03:18 »
Comment faire pour le renvoi vers un mobile ?
Sur l'espace client en ligne: Mes équipements -> Téléphone -> Renvois d'appels...

Nico

  • Modérateur
  • *
  • Messages: 44 486
  • FTTH 1000/500 sur Paris 15ème (75)
    • @_GaLaK_
Refonte réseau avec Livebox v5, Stormshield et TP-Link TL-SG2210P
« Réponse #14 le: 26 octobre 2019 à 09:35:43 »
Du coup, je peux envisager d'enlever le switch, de mettre le SFP-ONT dans le TP-Link MC220L pour aller sur le Stormshield.
C'est non testé et potentiellement l'OLT Orange n'acceptera plus ton SFP-ONT après la migration.

Comme hj67 je suis assez perplexe sur l'utilité de passer sur la LB5.

FaceOfHorrOods

  • Abonné Orange Fibre
  • *
  • Messages: 47
  • Blagnac (31)
Refonte réseau avec Livebox v5, Stormshield et TP-Link TL-SG2210P
« Réponse #15 le: 29 octobre 2019 à 00:19:35 »
Suite à vos remarques, j'ai réanalysé les infrastructures possibles à mettre en œuvres et je viens de finir mes réflexion.

Soit je pars sur une infrastructure sans Livebox et dans ce cas, je dois prévoir une AP WiFi PoE (pour simplifier le câblage).

Je m’orienterai sur les APs suivantes avec une esthétique plus adaptée au bureau et avec des performances similaires à celle de la Livebox 4 :
  • mikrotik Audience (RBD25G-5HPacQD2HPnD)
  • UAP-FlexHD



Ou alors, une infrastructure avec Livebox pour la téléphonie, WiFi et sans le switch TP-Link.

Je désactiverai le DHCP de la Livebox pour permettre au DHCP du Stormshield de fournir la bonne configuration réseau aux terminaux en LAN et WiFI afin d'éviter de passer par la Livebox (réglant le double NAT).



En espérant que ce soit techniquement possible.

FaceOfHorrOods

  • Abonné Orange Fibre
  • *
  • Messages: 47
  • Blagnac (31)
TUTO - Refonte réseau avec un firewall Stormshield SN300
« Réponse #16 le: 04 novembre 2019 à 20:24:06 »
Mise à jour de la publication d’origine en exposant les 3 versions de mon projet

FaceOfHorrOods

  • Abonné Orange Fibre
  • *
  • Messages: 47
  • Blagnac (31)
TUTO - Refonte réseau avec un firewall Stormshield SN300
« Réponse #17 le: 21 novembre 2019 à 00:09:44 »
J'ai reçu le TP-Link MC220L vendredi dernier et je me base sur la publication : https://lafibre.info/remplacer-livebox/remplacer-la-lb-par-un-firewallrouteur-netasq-ou-stormshield/

J'ai fais la configuration des interface pour obtenir ceci :
SN300A15G6379A7>ifinfo
interface list:
BRIDGE_DMZ
   192.168.2.254/24
   ETH7 (protected,eth6)
   ETH8 (protected,eth7)
BRIDGE_LAN
   192.168.1.254/24
   ETH2 (protected,eth1)
   ETH4 (protected,eth3)
   ETH5 (protected,eth4)
   ETH6 (protected,eth5)
832_WAN_Livebox (protected,vlan1)
      192.168.254.1/29
832_WAN_SN300 (vlan0)
      169.254.108.93/16
sslvpn_udp (protected,tun1)
sslvpn (protected,tun0)
ETH3 (protected,eth2)
      169.254.108.95/16
      832_WAN_Livebox (832,protected,vlan1)
      192.168.254.1/29
ETH1 (eth0)
      169.254.108.93/16
      832_WAN_SN300 (832,vlan0)
      169.254.108.93/16
ipsec (enc0)

Pour résumé,
  • ETH1 a une interface VLAN 832, nommée "832_WAN_SN300" avec CoS 6 et en client DHCP
  • ETH3 a une interface VLAN 832, nommée "832_WAN_Livebox" avec CoS 6, l'adresse IP : 192.168.254.1 /29 et un DHCP pour fournir une adresse IP sur le port WAN RJ45 de la Livebox

J'ai modifié le fichier /var/dhclient.conf avec vim en rajoutant les lignes et en modifiant AB:CD:EF:GH:IJ:KL:MN par la suite du fti/... en Hexa / ASCII

timeout 60;
reboot 10;
retry 60;
select-timeout 5;
initial-interval 2;
script "/usr/Firewall/sbin/dhclient-script";
option authsend code 90 = { string};
option dhcp-class-identifier code 60 = { string};
option user-class code 77 = { string};
#option dhcp-client-identifier code 61 = { string};
interface "eth0" {
send dhcp-lease-time 3600;
request subnet-mask, broadcast-address, routers;
require subnet-mask;
}

interface "eth2" {
send dhcp-lease-time 3600;
request subnet-mask, broadcast-address, routers;
require subnet-mask;
}

interface "vlan0" {
send dhcp-lease-time 3600;
send dhcp-class-identifier "sagem";
send user-class "+FSVDSL_livebox.Internet.softathome.Livebox4";
send authsend 00:00:00:00:00:00:00:00:00:00:00:66:74:69:2f:AB:CD:EF:GH:IJ:KL:MN;
request subnet-mask, broadcast-address, routers;
require subnet-mask;
}

J'ai fais :
  • chflags uchg /var/dhcpd.conf
  • nrestart dhclient

Je ne récupère pas d'adresse IP sur l'interface "832_WAN_SN300", malgré que le port ETH1 (dont l'interface vlan dépend) est bien en client DHCP.

FaceOfHorrOods

  • Abonné Orange Fibre
  • *
  • Messages: 47
  • Blagnac (31)
TUTO - Refonte réseau avec un firewall Stormshield SN300
« Réponse #18 le: 25 novembre 2019 à 23:00:53 »
Bonsoir,

J'avance doucement sur mon boitier UTM Stormshield.

La configuration de mes interfaces :
SN300A15G6379A7>ifinfo
interface list:
BRIDGE_DMZ
   192.168.2.254/24
   ETH7 (protected,eth6)
   ETH8 (protected,eth7)
BRIDGE_LAN
   192.168.1.254/24
   ETH2 (protected,eth1)
   ETH4 (protected,eth3)
   ETH5 (protected,eth4)
   ETH6 (protected,eth5)
ORANGE_832_LAN (protected,vlan1)
      192.168.254.1/29
ORANGE_832_WAN (vlan0)
      169.254.108.93/16
sslvpn_udp (protected,tun1)
sslvpn (protected,tun0)
ETH3 (protected,eth2)
      169.254.108.95/16
      ORANGE_832_LAN (832,protected,vlan1)
      192.168.254.1/29
ETH1 (eth0)
      169.254.108.93/16
      ORANGE_832_WAN (832,vlan0)
      169.254.108.93/16
ipsec (enc0)

J'ai généré mon option 90 en utilisant le script bash (https://lafibre.info/remplacer-livebox/cacking-nouveau-systeme-de-generation-de-loption-90-dhcp/msg580713/#msg580713) suite au changement de l'option 90 (https://lafibre.info/remplacer-livebox/cacking-nouveau-systeme-de-generation-de-loption-90-dhcp/msg579668/#msg579668).

J'ai obtenu un schéma

Citer
00:00:00:00:00:00:00:00:00:00:00:1a:09:00:00:05:58:01:03:41:01:0d:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:3c:12:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:03:13:zz:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh

  • xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx correcpond au fti/.....
  • sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:03:13:zz:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh correspond au hash MD5 avec la formule MD5(RANDCHAR + PASSWORD + RANDSTRING) du mot de passe

Mon fichier /var/dhcpdclient :

timeout 60;
reboot 10;
retry 60;
select-timeout 5;
initial-interval 2;
script "/usr/Firewall/sbin/dhclient-script";
option authsend code 90 = { string};
option dhcp-class-identifier code 60 = { string};
option user-class code 77 = { string};

interface "eth0" {
send dhcp-lease-time 3600;
request subnet-mask, broadcast-address, routers;
require subnet-mask;
}

interface "eth2" {
send dhcp-lease-time 3600;
request subnet-mask, broadcast-address, routers;
require subnet-mask;
}

interface "vlan0" {
send dhcp-lease-time 3600;
send dhcp-class-identifier "sagem";
send user-class "+FSVDSL_livebox.Internet.softathome.Livebox4";
send authsend 00:00:00:00:00:00:00:00:00:00:00:1a:09:00:00:05:58:01:03:41:01:0d:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:3c:12:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:03:13:zz:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh;
request subnet-mask, broadcast-address, dhcp-lease-time, dhcp-renewal-time, dhcp-rebinding-time, domain-search, routers, domain-name-servers, authsend;
}

Commande pour figer le fichier :
chflags uchg /var/dhcpd.conf
Relance du client DHCP:
nrestart dhclient




Configuration du serveur DHCP pour fournir un adresse IP sur le port WAN RJ45 de la Livebox 4.



DHCP_WAN_LIVEBOX_832 est un plage d'adresse IP de 192.168.254.2 à 192.168.254.6 ayant pour passerelle GW_WAN_LIVEBOX (192.168.254.1).

Je n'ai toujours pas d'accès internet malgré la règle NAT / filtrage et la Livebox ne démarre pas. Est-ce qu'il faut lui envoyer des options DHCP spécifiques (SIP, ...) ?

FaceOfHorrOods

  • Abonné Orange Fibre
  • *
  • Messages: 47
  • Blagnac (31)
TUTO - Refonte réseau avec un firewall Stormshield SN300
« Réponse #19 le: 27 novembre 2019 à 00:52:17 »
Je viens de régler le problème de NAT et de routage.

J'accède à internet depuis le Stormshield.







Cependant, la Livebox ne démarre pas.

J'ai modifié le fichier /var/dhcpd.conf pour que le serveur DHCP du Stormshield envoi des options sur le port WAN RJ45 de la Livebox.

vim /var/dhcpd.conf
### Global settings
authoritative;
lease-file-name "/var/db/dhcpd.leases";
ddns-update-style none;
option local-pac-server code 252 = text;
option domain-name "mon-domaine.fr";
min-lease-time 3600;
default-lease-time 86400;
max-lease-time 604800;
ping-check true;

# lease events
# set variables on commit event to use them on release and expiry event
# Warning : these actions are synchronous and slow the lease operations
# add debug informations in /usr/Firewall/sbin/dhlease-script if needed

on commit {
        if (option host-name != null) {
                set netasq-var-hostname=option host-name;
                set netasq-var-mac=binary-to-ascii(16, 8, ":", substring(hardware, 1, 6));
                set res=execute("/usr/Firewall/sbin/dhlease-script", "commit", binary-to-ascii(10, 8, ".", leased-address), binary-to-ascii(16, 8, ":", substring(hardware, 1, 6)), option host-name);
        }
        else {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "commit", binary-to-ascii(10, 8, ".", leased-address), binary-to-ascii(16, 8, ":", substring(hardware, 1, 6)));
        }
}
on release {
        if (netasq-var-hostname != null) {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "release", binary-to-ascii(10, 8, ".", leased-address), binary-to-ascii(16, 8, ":", substring(hardware, 1, 6)), netasq-var-hostname);
        }
        else {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "release", binary-to-ascii(10, 8, ".", leased-address), binary-to-ascii(16, 8, ":", substring(hardware, 1, 6)));
        }
}
on expiry {
        if (netasq-var-hostname != null and netasq-var-mac != NULL) {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "expiry", binary-to-ascii(10, 8, ".", leased-address), netasq-var-mac, netasq-var-hostname);
        }
        else {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "expiry", binary-to-ascii(10, 8, ".", leased-address));
        }
}
# end of lease events
### End of global settings

### Servers list
option domain-name-servers 8.8.8.8, 8.8.4.4;
### end of servers list
subnet 192.168.1.0 netmask 255.255.255.0 {
    option subnet-mask 255.255.255.0;
    # network Network_BRIDGE_LAN_v4
    pool {
        range 192.168.1.11 192.168.1.199;
        option routers 192.168.1.254;
    }
}
subnet 192.168.254.0 netmask 255.255.255.248 {
    option subnet-mask 255.255.255.248;
    # network Network_ORANGE_832_LAN_v4
    pool {
        range 192.168.254.2 192.168.254.6;
        option routers 192.168.254.1;
        option domain-name "orange.fr";
        option domain-name-servers 80.10.246.132, 81.253.149.2;
        #option authsend 00:00:00:00:00:00:00:00:00:00:00:1a:09:00:00:05:58:01:03:41:01:0d:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:3c:12:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:03:13:zz:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh;
        #option SIP 00:06:73:62:63:74:33:67:03:41:55:42:06:61:63:63:65:73:73:11:6f:72:61:6e:67:65:2d:6d:75:6c:74:69:6d:65:64:69:61:03:6e:65:74:00;
        option authsend code 90  = text;
        option authsend 00:00:00:00:00:00:00:00:00:00:00:1a:09:00:00:05:58:01:03:41:01:0d:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:3c:12:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:03:13:zz:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh;
        option SIP code 120 = text;
        option SIP 00:06:73:62:63:74:33:67:03:41:55:42:06:61:63:63:65:73:73:11:6f:72:61:6e:67:65:2d:6d:75:6c:74:69:6d:65:64:69:61:03:6e:65:74:00;
    }
}

Je fige le fichier avec la commande :
Citer
chflags uchg /var/dhcpd.conf

Je redémarre le client DHCP avec la commande :
Citer
nrestart dhclient

Je redémarre le serveur DHCP avec la commande
Citer
nrestart dhcpd

Pour information, j'ai repris les informations de la publication https://wiki.csnu.org/index.php/Fibre_orange_en_DHCP_avec_routeur_pfsense#Configuration_du_serveur_DHCP :

Citer
option SIP 00:06:73:62:63:74:33:67:03:41:55:42:06:61:63:63:65:73:73:11:6f:72:61:6e:67:65:2d:6d:75:6c:74:69:6d:65:64:69:61:03:6e:65:74:00;

C'est l'hexadécimal de sbct3g.STR.access.orange-multimedia.net qui est le serveur SIP pour Strasbourg.

Pour ma part, je suis sur Blagnac et le serveur SIP est sbct3g.TOU.access.orange-multimedia.net (obtenue par une capture Wireshark en juin 2019, au moment ou j'avais l'ONT externe)

Niveau débit : 257 Mbps / 4.72 Mbps

zoc

  • Abonné Orange Fibre
  • *
  • Messages: 4 288
  • Antibes (06) / Mercury (73)
TUTO - Refonte réseau avec un firewall Stormshield SN300
« Réponse #20 le: 27 novembre 2019 à 09:01:46 »
Pour information, j'ai repris les informations de la publication https://wiki.csnu.org/index.php/Fibre_orange_en_DHCP_avec_routeur_pfsense#Configuration_du_serveur_DHCP :
Infos totalement obsolètes en ce qui concerne la téléphonie. L'option 120 (SIP) est dépréciée par Orange depuis au moins 6 mois en faveur de l'option 119.

https://lafibre.info/remplacer-livebox/cacking-nouveau-systeme-de-generation-de-loption-90-dhcp/msg596234/#msg596234


kaktuss77

  • Abonné Orange Fibre
  • *
  • Messages: 598
  • Free 8G/700M + Orange 2G/1G <3
    • @kaktuss77
TUTO - Refonte réseau avec un firewall Stormshield SN300
« Réponse #21 le: 27 novembre 2019 à 15:05:52 »
Pour gagné un peu en débit avec le SN300 qui a un petit CPU, tu peux passer la règle de filtrage du trafic sortant en mode Firewall au lieu de IPS, tu devrais gratter 300Mbps

renaud07

  • Abonné Orange adsl
  • *
  • Messages: 3 371
TUTO - Refonte réseau avec un firewall Stormshield SN300
« Réponse #22 le: 27 novembre 2019 à 17:03:12 »
Infos totalement obsolètes en ce qui concerne la téléphonie. L'option 120 (SIP) est dépréciée par Orange depuis au moins 6 mois en faveur de l'option 119.

https://lafibre.info/remplacer-livebox/cacking-nouveau-systeme-de-generation-de-loption-90-dhcp/msg596234/#msg596234

A propos, j'ai vu que la box se servait aussi du domaine name si le 119 n'est pas dispo. Je l'ai remarqué lorsque j'ai fait un reset de celle-ci, car ma config datait du firmware non à jour quand je l'avais reçue (elle a fait la MAJ peu de temps après). Et je n'avais pas renseigné le 119 dans le DHCP.

Dans mon cas elle essayait de résoudre sbct3g.lan


FaceOfHorrOods

  • Abonné Orange Fibre
  • *
  • Messages: 47
  • Blagnac (31)
TUTO - Refonte réseau avec un firewall Stormshield SN300
« Réponse #23 le: 28 novembre 2019 à 00:28:45 »
Merci pour vos rapides retours !

Pour gagné un peu en débit avec le SN300 qui a un petit CPU, tu peux passer la règle de filtrage du trafic sortant en mode Firewall au lieu de IPS, tu devrais gratter 300Mbps

J'ai fais la modification et il n'y a pas beaucoup de différence, je peaufinerai après pour optimiser les débits.

Infos totalement obsolètes en ce qui concerne la téléphonie. L'option 120 (SIP) est dépréciée par Orange depuis au moins 6 mois en faveur de l'option 119.

https://lafibre.info/remplacer-livebox/cacking-nouveau-systeme-de-generation-de-loption-90-dhcp/msg596234/#msg596234

J'ai ajouté l'option 119 et j'ai testais plusieurs permutations sans grand changement.

Est-ce que ce serait du à la syntaxe ? SIP-servers ou SIP ?

Voilà la dernière version du fichier /var/dhcpd.conf

### Global settings
authoritative;
lease-file-name "/var/db/dhcpd.leases";
ddns-update-style none;
option local-pac-server code 252 = text;
option authsend code 90 = text;
option domain-search code 119 = text;
option SIP-servers code 120 = text;
option domain-name "domaine.fr";
min-lease-time 3600;
default-lease-time 86400;
max-lease-time 604800;
ping-check true;

# lease events
# set variables on commit event to use them on release and expiry event
# Warning : these actions are synchronous and slow the lease operations
# add debug informations in /usr/Firewall/sbin/dhlease-script if needed

on commit {
        if (option host-name != null) {
                set netasq-var-hostname=option host-name;
                set netasq-var-mac=binary-to-ascii(16, 8, ":", substring(hardware, 1, 6));
                set res=execute("/usr/Firewall/sbin/dhlease-script", "commit", binary-to-ascii(10, 8, ".", leased-address), binary-to-ascii(16, 8, ":", substring(hardware, 1, 6)), option host-name);
        }
        else {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "commit", binary-to-ascii(10, 8, ".", leased-address), binary-to-ascii(16, 8, ":", substring(hardware, 1, 6)));
        }
}
on release {
        if (netasq-var-hostname != null) {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "release", binary-to-ascii(10, 8, ".", leased-address), binary-to-ascii(16, 8, ":", substring(hardware, 1, 6)), netasq-var-hostname);
        }
        else {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "release", binary-to-ascii(10, 8, ".", leased-address), binary-to-ascii(16, 8, ":", substring(hardware, 1, 6)));
        }
}
on expiry {
        if (netasq-var-hostname != null and netasq-var-mac != NULL) {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "expiry", binary-to-ascii(10, 8, ".", leased-address), netasq-var-mac, netasq-var-hostname);
        }
        else {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "expiry", binary-to-ascii(10, 8, ".", leased-address));
        }
}
# end of lease events
### End of global settings

### Servers list
option domain-name-servers 8.8.8.8, 8.8.4.4;
### end of servers list
subnet 192.168.1.0 netmask 255.255.255.0 {
    option subnet-mask 255.255.255.0;
    # network Network_BRIDGE_LAN_v4
    pool {
        range 192.168.1.11 192.168.1.199;
        option routers 192.168.1.254;
    }
}
subnet 192.168.254.0 netmask 255.255.255.248 {
    option subnet-mask 255.255.255.248;
    # network Network_ORANGE_832_LAN_v4
    pool {
        range 192.168.254.2 192.168.254.6;
        option routers 192.168.254.1;
        option domain-name "orange.fr";
        option domain-name-servers 80.10.246.132, 81.253.149.2;
        option authsend 00:00:00:00:00:00:00:00:00:00:00:1a:09:00:00:05:58:01:03:41:01:0d:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:3c:12:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:03:13:zz:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh;
        #option domain-search 03:54:4f:55:06:61:63:63:65:73:73:11:6f:72:61:6e:67:65:2d:6d:75:6c:74:69:6d:65:64:69:61:03:6e:65:74:00;
        option domain-search "TOU.access.orange-multimedia.net";
        #option SIP-servers 00:06:73:62:63:74:33:67:03:54:4f:55:06:61:63:63:65:73:73:11:6f:72:61:6e:67:65:2d:6d:75:6c:74:69:6d:65:64:69:61:03:6e:65:74:00;
        option SIP-servers "sbct3g.TOU.access.orange-multimedia.net";
    }
}
« Modifié: 28 novembre 2019 à 07:03:38 par FaceOfHorrOods »