La Fibre

Datacenter et équipements réseaux => Routeurs => Orange fibre Remplacer la LiveBox par un routeur => Discussion démarrée par: FaceOfHorrOods le 24 octobre 2019 à 23:51:13

Titre: TUTO - Refonte réseau avec un firewall Stormshield SN300
Posté par: FaceOfHorrOods le 24 octobre 2019 à 23:51:13
Bonjour, Bonsoir,

Je vous expose mon projet de refonte de mon réseau pour Internet et Téléphone (sans TV).

J'ai bien suivi les publications concernant le téléphone, il faut obligatoirement garder la Livebox pour conserver le téléphone.

Je suis preneur s'il y a des changements et qu'il sera de nouveau possible d'avoir le téléphone sans la Livebox comme ce fut le cas avant, dans cette publication https://lafibre.info/remplacer-livebox/le-guide-complet-internet-tv-et-telephone-sans-livebox-et-bien-plus-plus/msg406211/#msg406211 (https://lafibre.info/remplacer-livebox/le-guide-complet-internet-tv-et-telephone-sans-livebox-et-bien-plus-plus/msg406211/#msg406211). Je pourrai envisager une machine virtuelle sur mon NAS (Noisette).

Je pars de cette infrastructure réseau avec un Stormshield non exploité jusqu'à maintenant.

(https://www.zupimages.net/up/19/45/erjt.png)

https://www.zupimages.net/up/19/43/onub.png (https://www.zupimages.net/up/19/43/onub.png) : ancien schéma réseau

Après un grand temps de réflexion, je m'orienterai vers cette infrastructure. https://www.zupimages.net/up/19/43/9kag.png (https://www.zupimages.net/up/19/43/9kag.png)

Avec le schéma des flux ci-dessous. https://www.zupimages.net/up/19/43/15zk.png (https://www.zupimages.net/up/19/43/15zk.png)


Version 1 : avec Livebox 4 et TP-Link MC220L

Matériels :
(https://www.zupimages.net/up/19/45/cc05.png)

Avec le schéma des flux prévu :

(https://www.zupimages.net/up/19/45/kyz5.png)

Le serveur DHCP de la Livebox v4 sera désactivé, le serveur DHCP principal sera celui du Stormshield en fournissant en passerelle par défaut, le Stormshield (192.168.1.254 au lieu de 192.168.1.1) réduisant ou enlevant le problème de double NAT.

L'interconnexion se fera entre un port LAN de Livebox et un port LAN du Stormshield pour le réseau LAN et en WiFi.


Version 2 : avec Livebox 5 et ONT Externe

Matériels :
(https://www.zupimages.net/up/19/45/eq9e.png)

En utilisant le port 4 (WAN RJ45) (cf : https://lafibre.info/remplacer-livebox/refonte-reseau-avec-livebox-v5-stormshield-et-tp-link-tl-sg2210p/msg698454/#msg698454 (https://lafibre.info/remplacer-livebox/refonte-reseau-avec-livebox-v5-stormshield-et-tp-link-tl-sg2210p/msg698454/#msg698454) )

(https://lafibre.info/index.php?action=dlattach;topic=40243.0;attach=74408;image)


Version 3 : sans Livebox et avec TP-Link TL-SG2210P

Matériels :
(https://www.zupimages.net/up/19/45/fvii.png)

Les raisons du choix du TP-Link TL-SG2210P :
Les raisons du passage à la Livebox v5 :
Pour l'AP WiFi PoE :
Configuration pour le switch TP-Link : https://lafibre.info/remplacer-livebox/opnsense-remplacer-livebox-aucune-modification-necessaire/msg585287/#msg585287 (https://lafibre.info/remplacer-livebox/opnsense-remplacer-livebox-aucune-modification-necessaire/msg585287/#msg585287)


Pour le Stomshield, j'ai déjà consulté cette publication : https://lafibre.info/remplacer-livebox/remplacer-la-lb-par-un-firewallrouteur-netasq-ou-stormshield/ (https://lafibre.info/remplacer-livebox/remplacer-la-lb-par-un-firewallrouteur-netasq-ou-stormshield/)

et j'ai préparé la configuration :
Code: [Sélectionner]
retry 60;
select-timeout 5;
initial-interval 2;
script "/usr/Firewall/sbin/dhclient-script";

option authsend code 90 = { string};
option dhcp-class-identifier code 60 = { string};
option user-class code 77 = { string};
#option dhcp-client-identifier code 61 = { string};

interface "vlan0" {
request subnet-mask, broadcast-address, routers;
require subnet-mask;
}

interface "vlan1" {
request subnet-mask, broadcast-address, routers;
require subnet-mask;
}

interface "vlan832" {
send dhcp-class-identifier "sagem";
send user-class "+FSVDSL_livebox.Internet.softathome.Livebox4";
send authsend 00:00:00:00:00:00:00:00:00:00:00:66:74:69:2f:00:11:22:33:44:55:66; (fti en hexa)
request subnet-mask, broadcast-address, routers, authsend;
require subnet-mask;
}

interface "vlan840" {
send vendor-class-identifier "sagem"
send dhcp-client-identifier 1:AA:BB:CC:DD:EE:FF;  (adresse MAC de la Livebox)
send user-class "\047FSVDSL_livebox.MLTV.softathome.Livebox4"
request subnet-mask, rfc3442-classless-static-routes;"
require subnet-mask;
}


J'ai compris qu'il faudra modifier les options du client DHCP pour obtenir une adresse IPv4 / IPv6 et que le mode d'authentification PPPoE est abandonnée ou n'existe plus.

Je mettrai à jour cette publication en fonction de vos retours afin d'avoir un retour d'expérience propre.

Je détaillerai au mieux mes démarches, configurations, ...

Code: [Sélectionner]
changelog

24/10/2019 : rédaction initiale
04/11/2019 : mise à jour d'après les remarques + uniformisation des schémas réseaux
Titre: Refonte réseau avec Livebox v5, Stormshield et TP-Link TL-SG2210P
Posté par: jeremyp3 le 24 octobre 2019 à 23:54:16
bonjour,

sauf ereur de ma ppart, la livebox v5 ne donne pas un SFP séparé. il est intégré à la box.
Titre: Refonte réseau avec Livebox v5, Stormshield et TP-Link TL-SG2210P
Posté par: FaceOfHorrOods le 24 octobre 2019 à 23:59:00
Citation de: jeremyp3 le 24 octobre 2019 à 23:54:16
bonjour,

sauf ereur de ma ppart, la livebox v5 ne donne pas un SFP séparé. il est intégré à la box.

Je suis au courant, c'est pour cela que je compte utiliser un switch TP-Link TL-SG2210P pour convertir la fibre Orange (SFP-ONT d'Orange) en ETHERNET pour aller sur le Stormshield et après convertir l'ETHERNET en fibre pour aller sur la Livebox 5 avec une jarretière optique.
Titre: Refonte réseau avec Livebox v5, Stormshield et TP-Link TL-SG2210P
Posté par: Thornhill le 25 octobre 2019 à 00:53:12
La LB5 attend un signal GPON sur son entrée fibre, pas un signal Ethernet, ça ne fonctionnera donc pas.

Pour faire ce que tu souhaites il faut je pense utiliser l'entrée WAN RJ45 de la LB5, qui sert normalement à connecter un ONT externe.

Restera aussi à faire enregistrer ton SFP ONT dans le SI Orange, pas évident.
Titre: Refonte réseau avec Livebox v5, Stormshield et TP-Link TL-SG2210P
Posté par: kgersen le 25 octobre 2019 à 05:37:28
y'a pas trop d'interet à faire du double NAT (en IPv4) en cascadant la Livebox comme cela.

on peut réutiliser le switch et le wifi de la livebox en désactivant son serveur DHCP et en branchant son LAN directement sur le LAN du SN300.

Ca permet en plus d'avoir plus de contrôle Firewall directement les elements du LAN. Parce que sinon le SN300 ne sert que pour faire une DMZ ? dans ce cas autant le mettre derriere la livebox.
Titre: Refonte réseau avec Livebox v5, Stormshield et TP-Link TL-SG2210P
Posté par: zoc le 25 octobre 2019 à 05:51:19
Configuration bancale:

Mon conseil: Renvoyer tous les appels vers un mobile, mettre la Livebox au placard (donc pas besoin de changer pour la LB 5 lors de la migration vers les nouvelles offres) et acheter un point d’accès wifi.

Bon, sinon, le wifi intelligent (beau bullshit commercial en passant), la LB4 le fait aussi:
https://assistance.orange.fr/livebox-modem/toutes-les-livebox-et-modems/installer-et-utiliser/piloter-et-parametrer-votre-materiel/le-parametrage-du-wifi/wifi-intelligent-presentation_294523-835053
Titre: Refonte réseau avec Livebox v5, Stormshield et TP-Link TL-SG2210P
Posté par: Nico le 25 octobre 2019 à 07:07:20
Et sinon je confirme qu'au mieux ça va marcher sur le port WAN de la LB5 en RJ45 mais c'est à date non testé et documenté.
Titre: Refonte réseau avec Livebox v5, Stormshield et TP-Link TL-SG2210P
Posté par: FaceOfHorrOods le 25 octobre 2019 à 19:07:37
Citation de: Thornhill le 25 octobre 2019 à 00:53:12
La LB5 attend un signal GPON sur son entrée fibre, pas un signal Ethernet, ça ne fonctionnera donc pas.

Pour faire ce que tu souhaites il faut je pense utiliser l'entrée WAN RJ45 de la LB5, qui sert normalement à connecter un ONT externe.

Restera aussi à faire enregistrer ton SFP ONT dans le SI Orange, pas évident.

Comme indiqué sur les schémas (les fils rouges correspondent à la fibre), je vais bien faire rentrer de la fibre sur la Livebox 5.
Il n'y a pas d'entrée WAN RJ45 sur la Livebox 5.

Le switch va me permettre de faire :

J'ai cherché d'autres équivalents au TP-Link MC220L ayant 2 ports SFP et 2 ports Ethernet. Je voudrais éviter de payer plus de 300€.

Le SFP ONT est déjà bon, je l'ai depuis mon déménagement (passage d'un ONT Externe à un SFP ONT. Je vais donc l'utiliser sur le switch.

Citation de: kgersen le 25 octobre 2019 à 05:37:28
y'a pas trop d'interet à faire du double NAT (en IPv4) en cascadant la Livebox comme cela.

on peut réutiliser le switch et le wifi de la livebox en désactivant son serveur DHCP et en branchant son LAN directement sur le LAN du SN300.

Ca permet en plus d'avoir plus de contrôle Firewall directement les elements du LAN. Parce que sinon le SN300 ne sert que pour faire une DMZ ? dans ce cas autant le mettre derriere la livebox.

J'ai bien conscience du double NAT (Stormshield et Livebox) et je prends note de ta remarque.

Je voudrais justement avoir plus de contrôle Firewall pour les éléments du LAN et de ne pas faire que de la DMZ.

Citation de: zoc le 25 octobre 2019 à 05:51:19
Configuration bancale:
  • Double NAT IPv4
  • Pas d’IPv6 derrière la Livebox

Mon conseil: Renvoyer tous les appels vers un mobile, mettre la Livebox au placard (donc pas besoin de changer pour la LB 5 lors de la migration vers les nouvelles offres) et acheter un point d’accès wifi.

Comment faire pour le renvoi vers un mobile ?

Après, je voudrais garder la Livebox pour le téléphone et l'aperçu rapide des équipements connectés au LAN et WiFi avec l'application Livebox.

Citation de: Nico le 25 octobre 2019 à 07:07:20
Et sinon je confirme qu'au mieux ça va marcher sur le port WAN de la LB5 en RJ45 mais c'est à date non testé et documenté.

Cela va permettre de tester et documenter.
Titre: Refonte réseau avec Livebox v5, Stormshield et TP-Link TL-SG2210P
Posté par: Thornhill le 25 octobre 2019 à 19:18:24
Citation de: FaceOfHorrOods le 25 octobre 2019 à 19:07:37
Comme indiqué sur les schémas (les fils rouges correspondent à la fibre), je vais bien faire rentrer de la fibre sur la Livebox 5.
Il n'y a pas d'entrée WAN RJ45 sur la Livebox 5.

Comme indiqué précédemment, ce n'est pas un problème de média (fibre) mais de protocole : l'entrée fibre de la LB5 attend un protocole GPON (encapsulation GEM + tout le système de gestion propre au GPON), or ton switch va lui envoyer des trames Ethernet : ça ne fonctionnera pas.

Et : si je t'assure qu'il y a bien un port RJ45 WAN/LAN sur la LB5, qui lui peut recevoir des trames Ethernet en provenance d'un ONT (ce que tu cherches à faire).

Titre: Refonte réseau avec Livebox v5, Stormshield et TP-Link TL-SG2210P
Posté par: kgersen le 25 octobre 2019 à 19:23:21
Citation de: FaceOfHorrOods le 25 octobre 2019 à 19:07:37
  • en second, une conversion Ethernet vers Fibre pour aller sur le port Fibre de la Livebox

non justement ca ne marchera pas. Le port fibre de la livebox n'attend pas une connexion de type 'ethernet' en fibre (802.3z) mais de type 'gpon' (G.984.x). C'est complètement incompatible.

Avant de poursuivre plus je te conseille de te renseigner plus sur la fibre optique, les ports SFP et comment tout ca fonctionne.


Citation de: FaceOfHorrOods le 25 octobre 2019 à 19:07:37
J'ai bien conscience du double NAT (Stormshield et Livebox) et je prends note de ta remarque.

Je voudrais justement avoir plus de contrôle Firewall pour les éléments du LAN et de ne pas faire que de la DMZ.

justement tu aura plus de controle directe sans la livebox entre. Tu ne peut ouvrir un port sur un equipement du lan sans l'ouvrir aussi dans la Livebox et l'UPnP-IDG (ouverture des ports par demande logiciel) ne marchera pas avec un double NAT.

La encore avant de poursuivre plus je te conseille de te renseigner plus sur les firewall, les ports ,les redirections, upnp-idg,etc.
Titre: Refonte réseau avec Livebox v5, Stormshield et TP-Link TL-SG2210P
Posté par: FaceOfHorrOods le 25 octobre 2019 à 20:07:58
Citation de: Thornhill le 25 octobre 2019 à 19:18:24
Comme indiqué précédemment, ce n'est pas un problème de média (fibre) mais de protocole : l'entrée fibre de la LB5 attend un protocole GPON (encapsulation GEM + tout le système de gestion propre au GPON), or ton switch va lui envoyer des trames Ethernet : ça ne fonctionnera pas.

Et : si je t'assure qu'il y a bien un port RJ45 WAN/LAN sur la LB5, qui lui peut recevoir des trames Ethernet en provenance d'un ONT (ce que tu cherches à faire).

Je comprends mieux pour le problème de protocole et j'ignorai qu'il y avait un port WAN/LAN RJ45. Sur la plupart des vidéos et imageq présentant la Livebox 5, je n'ai pas vu ce marqueur vert sur le port 4.

Du coup, je peux envisager d'enlever le switch, de mettre le SFP-ONT dans le TP-Link MC220L pour aller sur le Stormshield.

et après ? Je fais un bridge sur le Stormshield entre le port 1 (out) et le port (in) pour aller sur la Livebox ?
Titre: Refonte réseau avec Livebox v5, Stormshield et TP-Link TL-SG2210P
Posté par: hj67 le 25 octobre 2019 à 20:42:47
Tu parles de LB5, mais pourquoi faire ?
Tu sembles avoir actuellement une LB4 + SFP, c'est ça ?

Si tu bascules sur une offre LB5, tu n'auras pas les 2 Gb/s avec ton schéma. De plus, ton SFP de la LB4 ne fonctionnera plus puisque c'est la LB5 (avec son ONT intégré) qui sera attendu au niveau des équipements Orange.

Pour payer moins cher, autant passer chez Schoche.
Titre: Refonte réseau avec Livebox v5, Stormshield et TP-Link TL-SG2210P
Posté par: jeremyp3 le 26 octobre 2019 à 00:04:33
Citation de: FaceOfHorrOods le 25 octobre 2019 à 19:07:37
Le SFP ONT est déjà bon, je l'ai depuis mon déménagement (passage d'un ONT Externe à un SFP ONT. Je vais donc l'utiliser sur le switch.
sauf que si tu passes à la Livebox 5, il faudra rendre le SFP :) du coup, tout est caduc ;)

Jerem
Titre: Refonte réseau avec Livebox v5, Stormshield et TP-Link TL-SG2210P
Posté par: zoc le 26 octobre 2019 à 08:03:18
Citation de: FaceOfHorrOods le 25 octobre 2019 à 19:07:37
Comment faire pour le renvoi vers un mobile ?
Sur l'espace client en ligne: Mes équipements -> Téléphone -> Renvois d'appels...
Titre: Refonte réseau avec Livebox v5, Stormshield et TP-Link TL-SG2210P
Posté par: Nico le 26 octobre 2019 à 09:35:43
Citation de: FaceOfHorrOods le 25 octobre 2019 à 20:07:58
Du coup, je peux envisager d'enlever le switch, de mettre le SFP-ONT dans le TP-Link MC220L pour aller sur le Stormshield.
C'est non testé et potentiellement l'OLT Orange n'acceptera plus ton SFP-ONT après la migration.

Comme hj67 je suis assez perplexe sur l'utilité de passer sur la LB5.
Titre: Refonte réseau avec Livebox v5, Stormshield et TP-Link TL-SG2210P
Posté par: FaceOfHorrOods le 29 octobre 2019 à 00:19:35
Suite à vos remarques, j'ai réanalysé les infrastructures possibles à mettre en œuvres et je viens de finir mes réflexion.

Soit je pars sur une infrastructure sans Livebox et dans ce cas, je dois prévoir une AP WiFi PoE (pour simplifier le câblage).

Je m’orienterai sur les APs suivantes avec une esthétique plus adaptée au bureau et avec des performances similaires à celle de la Livebox 4 :

(https://www.zupimages.net/up/19/44/4tp3.png)

Ou alors, une infrastructure avec Livebox pour la téléphonie, WiFi et sans le switch TP-Link.

Je désactiverai le DHCP de la Livebox pour permettre au DHCP du Stormshield de fournir la bonne configuration réseau aux terminaux en LAN et WiFI afin d'éviter de passer par la Livebox (réglant le double NAT).

(https://www.zupimages.net/up/19/44/4wvf.png)

En espérant que ce soit techniquement possible.
Titre: TUTO - Refonte réseau avec un firewall Stormshield SN300
Posté par: FaceOfHorrOods le 04 novembre 2019 à 20:24:06
Mise à jour de la publication d’origine en exposant les 3 versions de mon projet
Titre: TUTO - Refonte réseau avec un firewall Stormshield SN300
Posté par: FaceOfHorrOods le 21 novembre 2019 à 00:09:44
J'ai reçu le TP-Link MC220L vendredi dernier et je me base sur la publication : https://lafibre.info/remplacer-livebox/remplacer-la-lb-par-un-firewallrouteur-netasq-ou-stormshield/ (https://lafibre.info/remplacer-livebox/remplacer-la-lb-par-un-firewallrouteur-netasq-ou-stormshield/)

J'ai fais la configuration des interface pour obtenir ceci :
Code: [Sélectionner]
SN300A15G6379A7>ifinfo
interface list:
BRIDGE_DMZ
   192.168.2.254/24
   ETH7 (protected,eth6)
   ETH8 (protected,eth7)
BRIDGE_LAN
   192.168.1.254/24
   ETH2 (protected,eth1)
   ETH4 (protected,eth3)
   ETH5 (protected,eth4)
   ETH6 (protected,eth5)
832_WAN_Livebox (protected,vlan1)
      192.168.254.1/29
832_WAN_SN300 (vlan0)
      169.254.108.93/16
sslvpn_udp (protected,tun1)
sslvpn (protected,tun0)
ETH3 (protected,eth2)
      169.254.108.95/16
      832_WAN_Livebox (832,protected,vlan1)
      192.168.254.1/29
ETH1 (eth0)
      169.254.108.93/16
      832_WAN_SN300 (832,vlan0)
      169.254.108.93/16
ipsec (enc0)

Pour résumé,

J'ai modifié le fichier /var/dhclient.conf avec vim en rajoutant les lignes et en modifiant AB:CD:EF:GH:IJ:KL:MN par la suite du fti/... en Hexa / ASCII

Code: [Sélectionner]
timeout 60;
reboot 10;
retry 60;
select-timeout 5;
initial-interval 2;
script "/usr/Firewall/sbin/dhclient-script";
option authsend code 90 = { string};
option dhcp-class-identifier code 60 = { string};
option user-class code 77 = { string};
#option dhcp-client-identifier code 61 = { string};
interface "eth0" {
send dhcp-lease-time 3600;
request subnet-mask, broadcast-address, routers;
require subnet-mask;
}

interface "eth2" {
send dhcp-lease-time 3600;
request subnet-mask, broadcast-address, routers;
require subnet-mask;
}

interface "vlan0" {
send dhcp-lease-time 3600;
send dhcp-class-identifier "sagem";
send user-class "+FSVDSL_livebox.Internet.softathome.Livebox4";
send authsend 00:00:00:00:00:00:00:00:00:00:00:66:74:69:2f:AB:CD:EF:GH:IJ:KL:MN;
request subnet-mask, broadcast-address, routers;
require subnet-mask;
}

J'ai fais :

Je ne récupère pas d'adresse IP sur l'interface "832_WAN_SN300", malgré que le port ETH1 (dont l'interface vlan dépend) est bien en client DHCP.
Titre: TUTO - Refonte réseau avec un firewall Stormshield SN300
Posté par: FaceOfHorrOods le 25 novembre 2019 à 23:00:53
Bonsoir,

J'avance doucement sur mon boitier UTM Stormshield.

La configuration de mes interfaces :
Code: [Sélectionner]
SN300A15G6379A7>ifinfo
interface list:
BRIDGE_DMZ
   192.168.2.254/24
   ETH7 (protected,eth6)
   ETH8 (protected,eth7)
BRIDGE_LAN
   192.168.1.254/24
   ETH2 (protected,eth1)
   ETH4 (protected,eth3)
   ETH5 (protected,eth4)
   ETH6 (protected,eth5)
ORANGE_832_LAN (protected,vlan1)
      192.168.254.1/29
ORANGE_832_WAN (vlan0)
      169.254.108.93/16
sslvpn_udp (protected,tun1)
sslvpn (protected,tun0)
ETH3 (protected,eth2)
      169.254.108.95/16
      ORANGE_832_LAN (832,protected,vlan1)
      192.168.254.1/29
ETH1 (eth0)
      169.254.108.93/16
      ORANGE_832_WAN (832,vlan0)
      169.254.108.93/16
ipsec (enc0)

J'ai généré mon option 90 en utilisant le script bash (https://lafibre.info/remplacer-livebox/cacking-nouveau-systeme-de-generation-de-loption-90-dhcp/msg580713/#msg580713) suite au changement de l'option 90 (https://lafibre.info/remplacer-livebox/cacking-nouveau-systeme-de-generation-de-loption-90-dhcp/msg579668/#msg579668).

J'ai obtenu un schéma

Citer
00:00:00:00:00:00:00:00:00:00:00:1a:09:00:00:05:58:01:03:41:01:0d:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:3c:12:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:03:13:zz:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh


Mon fichier /var/dhcpdclient :

Code: [Sélectionner]
timeout 60;
reboot 10;
retry 60;
select-timeout 5;
initial-interval 2;
script "/usr/Firewall/sbin/dhclient-script";
option authsend code 90 = { string};
option dhcp-class-identifier code 60 = { string};
option user-class code 77 = { string};

interface "eth0" {
send dhcp-lease-time 3600;
request subnet-mask, broadcast-address, routers;
require subnet-mask;
}

interface "eth2" {
send dhcp-lease-time 3600;
request subnet-mask, broadcast-address, routers;
require subnet-mask;
}

interface "vlan0" {
send dhcp-lease-time 3600;
send dhcp-class-identifier "sagem";
send user-class "+FSVDSL_livebox.Internet.softathome.Livebox4";
send authsend 00:00:00:00:00:00:00:00:00:00:00:1a:09:00:00:05:58:01:03:41:01:0d:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:3c:12:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:03:13:zz:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh;
request subnet-mask, broadcast-address, dhcp-lease-time, dhcp-renewal-time, dhcp-rebinding-time, domain-search, routers, domain-name-servers, authsend;
}

Commande pour figer le fichier :
Code: [Sélectionner]
chflags uchg /var/dhcpd.conf
Relance du client DHCP:
Code: [Sélectionner]
nrestart dhclient
(https://www.zupimages.net/up/19/48/tc8w.png)

(https://www.zupimages.net/up/19/48/2jnu.png)

Configuration du serveur DHCP pour fournir un adresse IP sur le port WAN RJ45 de la Livebox 4.

(https://www.zupimages.net/up/19/48/jrsv.png)

DHCP_WAN_LIVEBOX_832 est un plage d'adresse IP de 192.168.254.2 à 192.168.254.6 ayant pour passerelle GW_WAN_LIVEBOX (192.168.254.1).

Je n'ai toujours pas d'accès internet malgré la règle NAT / filtrage et la Livebox ne démarre pas. Est-ce qu'il faut lui envoyer des options DHCP spécifiques (SIP, ...) ?
Titre: TUTO - Refonte réseau avec un firewall Stormshield SN300
Posté par: FaceOfHorrOods le 27 novembre 2019 à 00:52:17
Je viens de régler le problème de NAT et de routage.

J'accède à internet depuis le Stormshield.

(https://www.zupimages.net/up/19/48/0fci.png)

(https://www.zupimages.net/up/19/48/48ln.png)

(https://www.zupimages.net/up/19/48/wtgj.png)

Cependant, la Livebox ne démarre pas.

J'ai modifié le fichier /var/dhcpd.conf pour que le serveur DHCP du Stormshield envoi des options sur le port WAN RJ45 de la Livebox.

Code: [Sélectionner]
vim /var/dhcpd.conf
Code: [Sélectionner]
### Global settings
authoritative;
lease-file-name "/var/db/dhcpd.leases";
ddns-update-style none;
option local-pac-server code 252 = text;
option domain-name "mon-domaine.fr";
min-lease-time 3600;
default-lease-time 86400;
max-lease-time 604800;
ping-check true;

# lease events
# set variables on commit event to use them on release and expiry event
# Warning : these actions are synchronous and slow the lease operations
# add debug informations in /usr/Firewall/sbin/dhlease-script if needed

on commit {
        if (option host-name != null) {
                set netasq-var-hostname=option host-name;
                set netasq-var-mac=binary-to-ascii(16, 8, ":", substring(hardware, 1, 6));
                set res=execute("/usr/Firewall/sbin/dhlease-script", "commit", binary-to-ascii(10, 8, ".", leased-address), binary-to-ascii(16, 8, ":", substring(hardware, 1, 6)), option host-name);
        }
        else {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "commit", binary-to-ascii(10, 8, ".", leased-address), binary-to-ascii(16, 8, ":", substring(hardware, 1, 6)));
        }
}
on release {
        if (netasq-var-hostname != null) {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "release", binary-to-ascii(10, 8, ".", leased-address), binary-to-ascii(16, 8, ":", substring(hardware, 1, 6)), netasq-var-hostname);
        }
        else {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "release", binary-to-ascii(10, 8, ".", leased-address), binary-to-ascii(16, 8, ":", substring(hardware, 1, 6)));
        }
}
on expiry {
        if (netasq-var-hostname != null and netasq-var-mac != NULL) {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "expiry", binary-to-ascii(10, 8, ".", leased-address), netasq-var-mac, netasq-var-hostname);
        }
        else {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "expiry", binary-to-ascii(10, 8, ".", leased-address));
        }
}
# end of lease events
### End of global settings

### Servers list
option domain-name-servers 8.8.8.8, 8.8.4.4;
### end of servers list
subnet 192.168.1.0 netmask 255.255.255.0 {
    option subnet-mask 255.255.255.0;
    # network Network_BRIDGE_LAN_v4
    pool {
        range 192.168.1.11 192.168.1.199;
        option routers 192.168.1.254;
    }
}
subnet 192.168.254.0 netmask 255.255.255.248 {
    option subnet-mask 255.255.255.248;
    # network Network_ORANGE_832_LAN_v4
    pool {
        range 192.168.254.2 192.168.254.6;
        option routers 192.168.254.1;
        option domain-name "orange.fr";
        option domain-name-servers 80.10.246.132, 81.253.149.2;
        #option authsend 00:00:00:00:00:00:00:00:00:00:00:1a:09:00:00:05:58:01:03:41:01:0d:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:3c:12:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:03:13:zz:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh;
        #option SIP 00:06:73:62:63:74:33:67:03:41:55:42:06:61:63:63:65:73:73:11:6f:72:61:6e:67:65:2d:6d:75:6c:74:69:6d:65:64:69:61:03:6e:65:74:00;
        option authsend code 90  = text;
        option authsend 00:00:00:00:00:00:00:00:00:00:00:1a:09:00:00:05:58:01:03:41:01:0d:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:3c:12:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:03:13:zz:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh;
        option SIP code 120 = text;
        option SIP 00:06:73:62:63:74:33:67:03:41:55:42:06:61:63:63:65:73:73:11:6f:72:61:6e:67:65:2d:6d:75:6c:74:69:6d:65:64:69:61:03:6e:65:74:00;
    }
}

Je fige le fichier avec la commande :
Citer
chflags uchg /var/dhcpd.conf

Je redémarre le client DHCP avec la commande :
Citer
nrestart dhclient

Je redémarre le serveur DHCP avec la commande
Citer
nrestart dhcpd

Pour information, j'ai repris les informations de la publication https://wiki.csnu.org/index.php/Fibre_orange_en_DHCP_avec_routeur_pfsense#Configuration_du_serveur_DHCP :

Citer
option SIP 00:06:73:62:63:74:33:67:03:41:55:42:06:61:63:63:65:73:73:11:6f:72:61:6e:67:65:2d:6d:75:6c:74:69:6d:65:64:69:61:03:6e:65:74:00;

C'est l'hexadécimal de sbct3g.STR.access.orange-multimedia.net qui est le serveur SIP pour Strasbourg.

Pour ma part, je suis sur Blagnac et le serveur SIP est sbct3g.TOU.access.orange-multimedia.net (obtenue par une capture Wireshark en juin 2019, au moment ou j'avais l'ONT externe)

Niveau débit : 257 Mbps / 4.72 Mbps
Titre: TUTO - Refonte réseau avec un firewall Stormshield SN300
Posté par: zoc le 27 novembre 2019 à 09:01:46
Citation de: FaceOfHorrOods le 27 novembre 2019 à 00:52:17
Pour information, j'ai repris les informations de la publication https://wiki.csnu.org/index.php/Fibre_orange_en_DHCP_avec_routeur_pfsense#Configuration_du_serveur_DHCP :
Infos totalement obsolètes en ce qui concerne la téléphonie. L'option 120 (SIP) est dépréciée par Orange depuis au moins 6 mois en faveur de l'option 119.

https://lafibre.info/remplacer-livebox/cacking-nouveau-systeme-de-generation-de-loption-90-dhcp/msg596234/#msg596234

Titre: TUTO - Refonte réseau avec un firewall Stormshield SN300
Posté par: kaktuss77 le 27 novembre 2019 à 15:05:52
Pour gagné un peu en débit avec le SN300 qui a un petit CPU, tu peux passer la règle de filtrage du trafic sortant en mode Firewall au lieu de IPS, tu devrais gratter 300Mbps
Titre: TUTO - Refonte réseau avec un firewall Stormshield SN300
Posté par: renaud07 le 27 novembre 2019 à 17:03:12
Citation de: zoc le 27 novembre 2019 à 09:01:46
Infos totalement obsolètes en ce qui concerne la téléphonie. L'option 120 (SIP) est dépréciée par Orange depuis au moins 6 mois en faveur de l'option 119.

https://lafibre.info/remplacer-livebox/cacking-nouveau-systeme-de-generation-de-loption-90-dhcp/msg596234/#msg596234

A propos, j'ai vu que la box se servait aussi du domaine name si le 119 n'est pas dispo. Je l'ai remarqué lorsque j'ai fait un reset de celle-ci, car ma config datait du firmware non à jour quand je l'avais reçue (elle a fait la MAJ peu de temps après). Et je n'avais pas renseigné le 119 dans le DHCP.

Dans mon cas elle essayait de résoudre sbct3g.lan

Titre: TUTO - Refonte réseau avec un firewall Stormshield SN300
Posté par: FaceOfHorrOods le 28 novembre 2019 à 00:28:45
Merci pour vos rapides retours !

Citation de: kaktuss77 le 27 novembre 2019 à 15:05:52
Pour gagné un peu en débit avec le SN300 qui a un petit CPU, tu peux passer la règle de filtrage du trafic sortant en mode Firewall au lieu de IPS, tu devrais gratter 300Mbps

J'ai fais la modification et il n'y a pas beaucoup de différence, je peaufinerai après pour optimiser les débits.

Citation de: zoc le 27 novembre 2019 à 09:01:46
Infos totalement obsolètes en ce qui concerne la téléphonie. L'option 120 (SIP) est dépréciée par Orange depuis au moins 6 mois en faveur de l'option 119.

https://lafibre.info/remplacer-livebox/cacking-nouveau-systeme-de-generation-de-loption-90-dhcp/msg596234/#msg596234

J'ai ajouté l'option 119 et j'ai testais plusieurs permutations sans grand changement.

Est-ce que ce serait du à la syntaxe ? SIP-servers ou SIP ?

Voilà la dernière version du fichier /var/dhcpd.conf

Code: [Sélectionner]
### Global settings
authoritative;
lease-file-name "/var/db/dhcpd.leases";
ddns-update-style none;
option local-pac-server code 252 = text;
option authsend code 90 = text;
option domain-search code 119 = text;
option SIP-servers code 120 = text;
option domain-name "domaine.fr";
min-lease-time 3600;
default-lease-time 86400;
max-lease-time 604800;
ping-check true;

# lease events
# set variables on commit event to use them on release and expiry event
# Warning : these actions are synchronous and slow the lease operations
# add debug informations in /usr/Firewall/sbin/dhlease-script if needed

on commit {
        if (option host-name != null) {
                set netasq-var-hostname=option host-name;
                set netasq-var-mac=binary-to-ascii(16, 8, ":", substring(hardware, 1, 6));
                set res=execute("/usr/Firewall/sbin/dhlease-script", "commit", binary-to-ascii(10, 8, ".", leased-address), binary-to-ascii(16, 8, ":", substring(hardware, 1, 6)), option host-name);
        }
        else {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "commit", binary-to-ascii(10, 8, ".", leased-address), binary-to-ascii(16, 8, ":", substring(hardware, 1, 6)));
        }
}
on release {
        if (netasq-var-hostname != null) {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "release", binary-to-ascii(10, 8, ".", leased-address), binary-to-ascii(16, 8, ":", substring(hardware, 1, 6)), netasq-var-hostname);
        }
        else {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "release", binary-to-ascii(10, 8, ".", leased-address), binary-to-ascii(16, 8, ":", substring(hardware, 1, 6)));
        }
}
on expiry {
        if (netasq-var-hostname != null and netasq-var-mac != NULL) {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "expiry", binary-to-ascii(10, 8, ".", leased-address), netasq-var-mac, netasq-var-hostname);
        }
        else {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "expiry", binary-to-ascii(10, 8, ".", leased-address));
        }
}
# end of lease events
### End of global settings

### Servers list
option domain-name-servers 8.8.8.8, 8.8.4.4;
### end of servers list
subnet 192.168.1.0 netmask 255.255.255.0 {
    option subnet-mask 255.255.255.0;
    # network Network_BRIDGE_LAN_v4
    pool {
        range 192.168.1.11 192.168.1.199;
        option routers 192.168.1.254;
    }
}
subnet 192.168.254.0 netmask 255.255.255.248 {
    option subnet-mask 255.255.255.248;
    # network Network_ORANGE_832_LAN_v4
    pool {
        range 192.168.254.2 192.168.254.6;
        option routers 192.168.254.1;
        option domain-name "orange.fr";
        option domain-name-servers 80.10.246.132, 81.253.149.2;
        option authsend 00:00:00:00:00:00:00:00:00:00:00:1a:09:00:00:05:58:01:03:41:01:0d:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:3c:12:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:03:13:zz:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh;
        #option domain-search 03:54:4f:55:06:61:63:63:65:73:73:11:6f:72:61:6e:67:65:2d:6d:75:6c:74:69:6d:65:64:69:61:03:6e:65:74:00;
        option domain-search "TOU.access.orange-multimedia.net";
        #option SIP-servers 00:06:73:62:63:74:33:67:03:54:4f:55:06:61:63:63:65:73:73:11:6f:72:61:6e:67:65:2d:6d:75:6c:74:69:6d:65:64:69:61:03:6e:65:74:00;
        option SIP-servers "sbct3g.TOU.access.orange-multimedia.net";
    }
}
Titre: TUTO - Refonte réseau avec un firewall Stormshield SN300
Posté par: zoc le 28 novembre 2019 à 08:27:32
Code: [Sélectionner]
option authsend 00:00:00:00:00:00:00:00:00:00:00:1a:09:00:00:05:58:01:03:41:01:0d:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:3c:12:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:03:13:zz:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh;Ca c'est faux, c'est ce que la Livebox envoie pour s'authentifier, pas ce qu'elle attend en réponse ! (La réponse est identique pour tout le monde)

Et accessoirement, il manque aussi l'option 125 (Vendor-specific), qui est obligatoire (et on ne sait pas à quoi elle sert).

Ma conf:
Code: [Sélectionner]
option Vendor-specific code 125 = string;
option rfc3118-auth code 90 = string;
option SIP code 120 = string;
...
        subnet 192.168.10.0 netmask 255.255.255.0 {
                option domain-name-servers 80.10.246.3, 81.253.149.10;
                option rfc3118-auth 00:00:00:00:00:00:00:00:00:00:00:64:68:63:70:6c:69:76:65:62:6f:78:66:72:32:35:30;
                option Vendor-specific 00:00:05:58:0c:01:0a:00:01:00:00:00:ff:ff:ff:ff:ff;
                option SIP 00:06:73:62:63:74:33:67:03:4e:49:43:06:61:63:63:65:73:73:11:6f:72:61:6e:67:65:2d:6d:75:6c:74:69:6d:65:64:69:61:03:6e:65:74:00;
                option domain-search "NIC.access.orange-multimedia.net.";
                option domain-name "orange.fr";
                option routers 192.168.10.1;
                default-lease-time 172800;
                max-lease-time 172800;
                range 192.168.10.30 192.168.10.50;
        }
...

Titre: TUTO - Refonte réseau avec un firewall Stormshield SN300
Posté par: FaceOfHorrOods le 28 novembre 2019 à 20:21:45
Citation de: zoc le 28 novembre 2019 à 08:27:32
Code: [Sélectionner]
option authsend 00:00:00:00:00:00:00:00:00:00:00:1a:09:00:00:05:58:01:03:41:01:0d:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:3c:12:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:03:13:zz:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh;Ca c'est faux, c'est ce que la Livebox envoie pour s'authentifier, pas ce qu'elle attend en réponse ! (La réponse est identique pour tout le monde)

Et accessoirement, il manque aussi l'option 125 (Vendor-specific), qui est obligatoire (et on ne sait pas à quoi elle sert).

Ma conf:
Code: [Sélectionner]
option Vendor-specific code 125 = string;
option rfc3118-auth code 90 = string;
option SIP code 120 = string;
...
        subnet 192.168.10.0 netmask 255.255.255.0 {
                option domain-name-servers 80.10.246.3, 81.253.149.10;
                option rfc3118-auth 00:00:00:00:00:00:00:00:00:00:00:64:68:63:70:6c:69:76:65:62:6f:78:66:72:32:35:30;
                option Vendor-specific 00:00:05:58:0c:01:0a:00:01:00:00:00:ff:ff:ff:ff:ff;
                option SIP 00:06:73:62:63:74:33:67:03:4e:49:43:06:61:63:63:65:73:73:11:6f:72:61:6e:67:65:2d:6d:75:6c:74:69:6d:65:64:69:61:03:6e:65:74:00;
                option domain-search "NIC.access.orange-multimedia.net.";
                option domain-name "orange.fr";
                option routers 192.168.10.1;
                default-lease-time 172800;
                max-lease-time 172800;
                range 192.168.10.30 192.168.10.50;
        }
...

Merci de ton retour.

Je galère, car les informations sur les options DHCP sont très dispersées sur le forum, ... pour  :
- l'envoi vers Orange
- l'envoi vers la Livebox

J'ai mis à jour mon fichier /var/dhcpd.conf en faisant 2 tests (le 2nd fut la réussite) :

Citer
SN300A15G6379A7>vim /var/dhcpd.conf
### Global settings
authoritative;
lease-file-name "/var/db/dhcpd.leases";
ddns-update-style none;
option local-pac-server code 252 = text;
#option 90 en type text ou string
option authsend code 90 = { string};
#option 120 en type text ou string
option SIP code 120 = { string};
#option 125 en type text ou string
option Vendor-specific code 125 = { string};
option domain-name "mondomaine.fr";
min-lease-time 3600;
default-lease-time 86400;
max-lease-time 604800;
ping-check true;

# lease events
# set variables on commit event to use them on release and expiry event
# Warning : these actions are synchronous and slow the lease operations
# add debug informations in /usr/Firewall/sbin/dhlease-script if needed

on commit {
        if (option host-name != null) {
                set netasq-var-hostname=option host-name;
                set netasq-var-mac=binary-to-ascii(16, 8, ":", substring(hardware, 1, 6));
                set res=execute("/usr/Firewall/sbin/dhlease-script", "commit", binary-to-ascii(10, 8, ".", leased-address), binary-to-ascii(16, 8, ":", substring(hardware, 1, 6)), option host-name);
        }
        else {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "commit", binary-to-ascii(10, 8, ".", leased-address), binary-to-ascii(16, 8, ":", substring(hardware, 1, 6)));
        }
}
on release {
        if (netasq-var-hostname != null) {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "release", binary-to-ascii(10, 8, ".", leased-address), binary-to-ascii(16, 8, ":", substring(hardware, 1, 6)), netasq-var-hostname);
        }
        else {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "release", binary-to-ascii(10, 8, ".", leased-address), binary-to-ascii(16, 8, ":", substring(hardware, 1, 6)));
        }
}
on expiry {
        if (netasq-var-hostname != null and netasq-var-mac != NULL) {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "expiry", binary-to-ascii(10, 8, ".", leased-address), netasq-var-mac, netasq-var-hostname);
        }
        else {
                set res=execute("/usr/Firewall/sbin/dhlease-script", "expiry", binary-to-ascii(10, 8, ".", leased-address));
        }
}
# end of lease events
### End of global settings

### Servers list
option domain-name-servers 8.8.8.8, 8.8.4.4;
### end of servers list
subnet 192.168.1.0 netmask 255.255.255.0 {
    option subnet-mask 255.255.255.0;
    # network Network_BRIDGE_LAN_v4
    pool {
        range 192.168.1.11 192.168.1.199;
        option routers 192.168.1.254;
    }
}
subnet 192.168.254.0 netmask 255.255.255.248 {
    option subnet-mask 255.255.255.248;
    # network Network_ORANGE_832_LAN_v4
    pool {
        range 192.168.254.2 192.168.254.6;
        option routers 192.168.254.1;
        option domain-name "orange.fr";
        option domain-name-servers 80.10.246.132, 81.253.149.2;
        # réponse pour l'option 90 (hex de dhcpliveboxfr250)
        option authsend 00:00:00:00:00:00:00:00:00:00:00:64:68:63:70:6c:69:76:65:62:6f:78:66:72:32:35:30;
        # option 119
        option domain-search "TOU.access.orange-multimedia.net";
        # option 120 - (hexa de sbct3g.TOU.access.orange-multimedia.net)
        option SIP 00:06:73:62:63:74:33:67:03:54:4f:55:06:61:63:63:65:73:73:11:6f:72:61:6e:67:65:2d:6d:75:6c:74:69:6d:65:64:69:61:03:6e:65:74:00;
        # option 125
        option Vendor-specific 00:00:05:58:0c:01:0a:00:00:00:00:00:ff:ff:ff:ff:ff;
    }
}

J'ai testais l'envoie des options en mode text. Au final, en { string} ça fonctionne mieux.

J'accède en internet en passant par la Livebox (double NAT).

Il ne me reste plus qu'à couper le serveur DHCP LAN de la Livebox, mettre un câble entre un port LAN du Stormshield et un port LAN de la Livebox et le DHCP du Stormshield indiquera qu'il est passerelle pour sortir (192.168.1.254 au lieu de 192.168.1.1).

J'ai fais un test de téléphonie :

Sans doute une règle de NAT ou filtrage à faire.
Titre: TUTO - Refonte réseau avec un firewall Stormshield SN300
Posté par: FaceOfHorrOods le 02 décembre 2019 à 17:55:13
J'essaye de configurer le dhclient v6 sur le Stormshield pour obtenir une IPv6 par le DHCP d'Orange.

Voici ma première tentative :

vim /var/dhclient.conf

Code: [Sélectionner]
timeout 60;
reboot 10;
retry 60;
select-timeout 5;
initial-interval 2;
script "/usr/Firewall/sbin/dhclient-script";
option authsend code 90 = { string};
option dhcp-class-identifier code 60 = { string};
option user-class code 77 = { string};
option dhcp6.auth code 11 = { string};
option dhcp6.userclass code 15 = { string};
option dhcp6.vendorclass code 16 = { string};

interface "eth0" {
send dhcp-lease-time 3600;
request subnet-mask, broadcast-address, routers;
require subnet-mask;
}

interface "eth2" {
send dhcp-lease-time 3600;
request subnet-mask, broadcast-address, routers;
require subnet-mask;
}

interface "vlan0" {
send dhcp-lease-time 3600;
send dhcp-class-identifier "sagem";
send user-class "+FSVDSL_livebox.Internet.softathome.Livebox4";
send authsend 00:00:00:00:00:00:00:00:00:00:00:1a:09:00:00:05:58:01:03:41:01:0d:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:3c:12:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:03:13:zz:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh;
request subnet-mask, broadcast-address, dhcp-lease-time, dhcp-renewal-time, dhcp-rebinding-time, domain-search, routers, domain-name-servers, authsend;
send dhcp6.client-id 00:03:00:01:XX:XX:XX:XX:XX:XX;
send dhcp6.auth 00:00:00:00:00:00:00:00:00:00:00:1a:09:00:00:05:58:01:03:41:01:0d:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:3c:12:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:sa:lt:03:13:zz:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh:ha:sh;
send dhcp6.userclass 00:2b:46:53:56:44:53:4c:5f:6c:69:76:65:62:6f:78:2e:49:6e:74:65:72:6e:65:74:2e:73:6f:66:74:61:74:68:6f:6d:65:2e:4c:69:76:65:62:6f:78:34;
send dhcp6.vendorclass 00:00:04:0e:00:05:73:61:67:65:6d;
send dhcp6.vendor-opts 00:00:05:58:00:06:00:0e:49:50:56:36:5f:52:45:51:55:45:53:54:45:44;
request dhcp6.auth, dhcp6.vendor-opts, dhcp6.name-servers, dhcp6.domain-search;
}

XX:XX:XX:XX:XX:XX correspond à l'Adresse MAC du port WAN de ma Livebox.
Code: [Sélectionner]
send dhcp6.client-id 00:03:00:01:XX:XX:XX:XX:XX:XX;
Titre: TUTO - Refonte réseau avec un firewall Stormshield SN300
Posté par: bennne le 30 mars 2020 à 15:15:01
Bonjour à tous,

Je suis avec attention l'ensemble des tutos postés ici, et je tiens a tous vous remercier avant toute chose pour l'intégralité des ressources :)
Cela étant dis, je vous expose ma situation :
1. j'ai un abonnement Orange FTTH LB4 et un décoldeur UHD (les tous petits)
2. Mon réseau est géré par un pare feu Stormshield SN200 en version 3.5
3. la connexion se fait directement par sur le Stormshield via le VLAN 832 et les options DHCP qui vont bien.
4. La fibre arrive direct sur un Netgear GS110TP. C'est lui qui gère les VLAN, etc...
Jusque là, tout va bien  :)

Et c'est à partir de là que ça se complique : pour des raisons pratiques, je souhaite garder le décodeur TV afin de profiter des chaines du bouquet ORANGE.
J'ai essayé en vain de suivre différents tutos pour mettre le décodeur dans un VLAN spécifique, configurer l'IGMP, etc... mais le décodeur ne doit pas recevoir les bonnes options car il ne démarre pas (erreur 07 de mémoire)
Du coup, je me suis décider à mettre la LiveBox dans un VLAN spécifique afin que le dialogue entre le décodeur et la BOX fonctionne, sans intervention.
En fouillant sur le forum, j'ai trouvé les options DHCP à passer à la BOX pour qu'elle se synchronise. Et ça fonctionne. Si je connecte un PC derrière la BOX, je sors sur Internet en passant par le Stormshield (double NAT certes, mais ça fonctionne)
Par contre, rien pour le décodeur, je reste avec une erreur S05-05, m'affichant un beau message comme quoi la TV d'Orange n'est pas disponible, alors que si je regarde sur la LiveBox (dans l'interface WEB), la TV d'Orange est bien disponible et tous les VLAN sont présents (832, 838 et 840)

Est ce que quelqu'un a déjà réussi un telle configuration ?

Si besoin, je peux vous passer les fichiers de config dhclient et les différentes options DHCP passées.

Je vous remercie d'avance de vos retours, et surtout ne pas hésiter si mon message ne se trouve pas dans la bonne section (je débute sur le post de messages dans les Forums  ;D)

A vous lire,
Benoît
Titre: TUTO - Refonte réseau avec un firewall Stormshield SN300
Posté par: FaceOfHorrOods le 01 avril 2020 à 22:10:30
Citation de: bennne le 30 mars 2020 à 15:15:01
Bonjour à tous,

Je suis avec attention l'ensemble des tutos postés ici, et je tiens a tous vous remercier avant toute chose pour l'intégralité des ressources :)
Cela étant dis, je vous expose ma situation :
1. j'ai un abonnement Orange FTTH LB4 et un décoldeur UHD (les tous petits)
2. Mon réseau est géré par un pare feu Stormshield SN200 en version 3.5
3. la connexion se fait directement par sur le Stormshield via le VLAN 832 et les options DHCP qui vont bien.
4. La fibre arrive direct sur un Netgear GS110TP. C'est lui qui gère les VLAN, etc...
Jusque là, tout va bien  :)

Et c'est à partir de là que ça se complique : pour des raisons pratiques, je souhaite garder le décodeur TV afin de profiter des chaines du bouquet ORANGE.
J'ai essayé en vain de suivre différents tutos pour mettre le décodeur dans un VLAN spécifique, configurer l'IGMP, etc... mais le décodeur ne doit pas recevoir les bonnes options car il ne démarre pas (erreur 07 de mémoire)
Du coup, je me suis décider à mettre la LiveBox dans un VLAN spécifique afin que le dialogue entre le décodeur et la BOX fonctionne, sans intervention.
En fouillant sur le forum, j'ai trouvé les options DHCP à passer à la BOX pour qu'elle se synchronise. Et ça fonctionne. Si je connecte un PC derrière la BOX, je sors sur Internet en passant par le Stormshield (double NAT certes, mais ça fonctionne)
Par contre, rien pour le décodeur, je reste avec une erreur S05-05, m'affichant un beau message comme quoi la TV d'Orange n'est pas disponible, alors que si je regarde sur la LiveBox (dans l'interface WEB), la TV d'Orange est bien disponible et tous les VLAN sont présents (832, 838 et 840)

Est ce que quelqu'un a déjà réussi un telle configuration ?

Si besoin, je peux vous passer les fichiers de config dhclient et les différentes options DHCP passées.

Je vous remercie d'avance de vos retours, et surtout ne pas hésiter si mon message ne se trouve pas dans la bonne section (je débute sur le post de messages dans les Forums  ;D)

A vous lire,
Benoît

Bonsoir bennne,

Pour la partie TV, je ne pourrais pas t'aider, car je n'ai pas demandé à avoir le décodeur. Je me passe très bien la TV. ;) Surtout en cette période

Après, il faudrait voir si tu peux envoyer les options DHCP qu'à besoin le décodeur TV d'orange via le serveur DHCP du Stormshield, comme nous le faisons pour que la Livebox se synchronise.

Cela évitera le double NAT.

Pour éviter le double NAT avec ton PC, j'ai trouvé l'astuce qui mérite plus de test :

Comme ça, le DHCP du Stormshield se diffuse sur les ports LAN de la Livebox et tu gagnes des ports en plus sur ton LAN.

En espérant avoir répondu à ta demande.