internet & fixe Livebox Voir tous les sujets internet & fixe

[#1]

Bonjour,

Je parle de problème sur la livebox 4, mais il n'y a pas de forum pour les livebox précédentes

Je suis obligé d'exposer le problème que j'ai trouvé et d'en faire un rapport public. En effet même s'il s'agit d'une faille de sécurité mineure, le support n'a pas été capable de me répondre. La seule réponse que j'ai eue en boucle est : "Votre livebox ne propose pas cette option" et ce, même si j'insistais en essayant d'expliquer qu'il s'agit soit d'une faille de sécurité, soit d'un gros bug.

Architecture de mon réseau :

    - 2 livebox pro brancher sur le même switch ethernet.

    - La première box est dédié à l'usage familial, tandis que la seconde est utilisée dans le cadre de mon entreprise.

    - La livebox familiale a le DHCP d'activé afin que toutes personnes puissent se connecter sans manipulation autre que les identifiants wifi

    - La 2eme livebox elle n'a pas le DHCP d'activé, car 2 DHCP sur le même réseau n'est pas possible. En revanche je voulais sécuriser au maximum les connexions en n'autorisant les connexions que depuis certaines IP, toutes en affectant les ip depuis la BOX.

Le problème : Pour ajouter une IP static, je suis obligé d'activer le DHCP ce qui plante complètement le réseau. Je suis donc obligé de mettre hors ligne tous les réseaux famillial + entreprise a chaque fois que je veux ajouter une IP.
Selon le support, cette features n'existe pas, et n'est pas possible. Je vous certifie que la feature fonctionne à moitié.

Détail de la manipulation :

step 1 : Passer la box en DHCP et valider -> le bouton pour set des ip vas être dé-griser

step 2 : ajouter une ip lié à une adresse mac dans le tableau de sélection d'ip dans la page du DHCP pui valider

step 3 : Désactiver le DHCP résultat : l'adresse ip sélectionner dans la table DHCP seras toujours utilisé même si le serveur DHCP est désactivé

Conclusion : Il y a deux conclusions à ce problème

    - soit c'est un bug, et il suffit de dégriser la sélection d'ip quand le DHCP est désactivé

    - soit c'est une faille, et dans ce cas les ip static du DHCP ne devrais pas être utilisé quand le DHCP inactif

ps: j'ai trouvé d'autre bug au niveau de la réinitialisation usine software, mais c'est nettement moins problématique.

ps2: Je commence à en avoir marre, à chaque fois que j'appelle le support la personne que j'ai au téléphone semble avoir le réseau qui passe mal, ou alors un micro qui date de la décennie précédente. Vous vendez de la téléphonie, la communication avec vous devrais être claire. Sans parler que j'ai toujours des personnes avec un niveau d'informatique réseau extrêmement bas, qui ne sont même pas au courant que 2 DHCP sur le même réseau le fait planter. Le plus triste dans tout ça, c'est que le réseau n'est même pas mon métier et que je fais un cours de réseau aux supports à chaque fois que je les ai eu au téléphone.

En espérant avoir un jour une réponse

Antoine

[#2]

Bonjour Antoine

---

@Hexalink  a écrit :

    - 2 livebox pro brancher sur le même switch ethernet.

---

Quelles adresses LAN  as tu donné à tes deux Livebox ?  avec quels masques réseau ?

Ensuite on verra

Cordialement

PhilDur

[#3]

Bonjour,

Pour paraphraser Mr Gates : ce n'est pas un bug c'est une feature.

En bref c'est un design d'interface choisis par Orang​e_et basé sur le desormais celebre proverbe "​Une livebox pour les gouverner tous, une livebox pour les trouver, une livebox pour les amener tous et dans les ténèbres les lier". Chez Orange c'est un reseau a plat derriere la livebox entierement controlé par la livebox. Reseau pour lequel la gestion de l'IP fixe est heretique. Avec la livebox, Orange a le controle de votre reseau. point-barre. C'est fait pour les pro (dans d'autres disciplines) qui déleguent leur telecom ET leur reseau a Orange (Chez Michu-SARL).

J'ai un a peu pres les memes preventions que vous concernant l'approche simplifiée d'Orange du DHCP et du DNS-cache associé/integré. Mais bon c'est comme ca, on n'y peut rien : ajouter le moindre truc a la livebox est un parcours du combattant meme sur les trucs en theorie du genre "on branche, ca discute tout seul puis ca marche".

Si vous voulez 2 livebox (et deux DHCP) sur un seul switch et une segregation correcte familial/pro sans faire une overdose de cables: il va vous falloir passer sur un switch web-manageable et vous atteler aux VLANs en 802.1q qui a l'origine ont ete crées pour regler ce genre de probleme, il y a environ 20 ans. (sauf si je n'ai pas assez lu entre les lignes pour decoder votre besoin)

[#4]

J'ai ma première box en DHCP a l'adresse 192.168.1.x et la seconde sur 192.168.42.x (sans DHCP). Mon réseau est relativement compliqué, mais ces points de convergence des réseaux est du a l'imprimante et a un de mes serveurs de stockage qui doit être accessible depuis les deux réseaux (et se trouvant sur le réseau "domicile"). 

Mais j'ai des connaissances suffisantes en réseau pour ne pas faire d'erreur à ce niveau-là. J'ai aussi une bonne connaissance des MASK.

Je pense m'acheter 2 bons routeurs à ajouter entre le switch et les box orange. Mais c'est quand même malheureux de devoir laisser la box en DHCP à cause d'un simple bouton grisée 

En plus, même si je suis un développeur informatique (electronique), je ne vous cache pas que je déteste le réseau.

Pour mon besoins, il est relativement simple. j'aimerais n'avoir que les mac autorisé sur le réseau pro tout en gardant un accès sur le réseau domicile. par contre, comme je change régulierement d'os, ca serais cool de ne pas a avoir à configurer un ip fixe à chaque fois, d'ou l'astuce de filtrer les MAC puis de donner une ip fixe.

Ce n'est certainement pas conventionnel, mais ça fonctionne avec la livebox au moyen des manipulations cité plus haut. J'aimerais beaucoup qu'ils patchent le bouton pour pouvoir en ajouter sans devoir à réactiver le DHCP, mais si le patch désactivé complètement la fonctionnalité je me contenterais de nouveaux routeurs (déjà 4 sans compter les boxs, on se croirait dans une grande ville quand on regarde les réseaux chez moi)

ps: j'ai eu orange à l'instant. j' aurais un retour provenant normalement du bon service (faille de sécurité et bug d'interface), je vous tiendrais au courant.

[#5]

Bonjour,

les routeurs c'est plutôt L3 donc IPv4 et IPV6 et pas MAC. Et le DHCP ca bidouille entre les deux et c'est donc souvent difficilement géré par les firewall natifs au routeur car shuntant la gestion IP a un moment ou a un autre.

Par contre les switches L2/L3 manageables sont capables de gérer des ACL-MAC, des ACL-IPv4 et des ACL-IPv6 avec différents niveaux de complexité/capacité selon les gammes. Gestion des ACL qui peut aussi se coupler avec une gestion locale des MACs sur le switch. C'est peut être ce que vous cherchez. Exemple en SOHO : https://www.manualslib.com/manual/1290953/Linksys-Lgs308.html?page=169#manual 

Actuellement vous voulez brider un réseau physique (ethernet avec MAC) en vous basant sur le réseau logique (IP) qui circule dessus et avec des outils qui sont liés à ce dernier. ca risque d'être plus dur. C'est plutôt prévu pour faire l'inverse si vous voulez toucher a la gestion des MACs.

Avec un outil L2 vous faites la segregation/tri des MACs au niveau physique (ou virtuel c'est possible aussi) et vous placez un routeur L3 unique entre les réseaux physiques/virtuels ségrégés pour gérer les accès inter-réseaux logiques. un switch correct et un routeur/firewall meme mono-RJ45, peuvent être suffisants.

Sinon a la place du routeur, c'est un bridge filtrant... c'est moins fun et surtout moins pratique à maintenir quand on bidouille les MACs.

Les switches L3 font encore plus et peuvent éliminer dans certains cas la nécessité d'un routeur... mais c'est horriblement cher ! Et ils demandent un temps d'acclimatation.

[#6]

Tes commentaires sont une mine d'or d'information

Dans l'idée, ça ne me semble pas si bizarre que ça de vouloir filtrer les adresse mac se connectant à mon réseau et de leur donnée une ip statique décidé à l'avance. Si je fais la configuration dans chaque pc, je n'ai aucun problème. Mais c'est quand même plus souple si je peux gérer toutes les ips d'un seul coup via un "mac ACL" (je ne connaissais pas le terme jusqu'à présent). Ça me permet par la même occasion de pouvoir modifier le réseau en une seule fois sans avoir à setuples pc de tous les mondes

l'informatique ou l'art de passer des heures/jours à économisé des secondes

Donc pour récapituler, si je veux faire ce que je veux réellement.

- Je passe mes 2 box en DHCP

- J'ajoute un switch avec une gestion L2/L3 (donc MAC / IP si j'ai bien compris)

- Je branche mes 2 box au switch

Depuis mes configs de switch je vais pouvoir autoriser des mac vers une box ou l'autre ?

Par exemple, par défaut Box1, sinon si "MAC = xxxx " BOX2

Tu aurais des références de bon switch qui ferais le taf ? Je n'ai pas besoins de beaucoup de sortie, j'ai déjà un grand switch 24 ports non manageable

ps: J'ai eu orange, rapport de bug envoyé ! J'étais dégoûté quand le support m'as dit "nous n'avons pas internet" alors que je voulais juste lui donner un lien vers ce sujet de forum. Ce qui est dingue, c'est que le signalement simple d'un bug à du me prendre > 1 mois avec ~ 5 ou 6 appelles à leur répéter la même chose. S'il y a une vraie faille un jour, elle ne parviendra au support que trop tard

[#7]

Bonjour,

Donc pour récapituler, si je veux faire ce que je veux réellement.

- Je passe mes 2 box en DHCP

- J'ajoute un switch avec une gestion L2/L3 (donc MAC / IP si j'ai bien compris)

- Je branche mes 2 box au switch

C'est basiquement ca avec des details techniques en plus.

Depuis mes configs de switch je vais pouvoir autoriser des mac vers une box ou l'autre ?

Par exemple, par défaut Box1, sinon si "MAC = xxxx " BOX2

Une ACL ACL-MAC : ca va plus etre du genre, sur le port GE5 en entrée, mac source = xx, mac destination = yy alors passe (ou jette selon les choix).

C'est vraiment a considerer comme un portier. ca reste "simple" donc ca peut devenir vite un amas de petites regles a gerer. Pour ma part je prefere n'utiliser les ACLs que pour claquer le bec d'un appareil qui "bave".

Ce que je ferais plutot c'est une segregation des reseau pro et famille dans le switch avec des VLANs. Au besoin je securise chacun des VLAN en gerant les MACs.

Donc je crée et j'active la gestion par VLAN 802.1q: 

• VLAN 1 : celui la il est normalement deja crée et on ne touche pas.
• VLAN 10 : le pro
• VLAN 20 : le famille

Note : le management des switches sera plus tard a deplacer du VLAN1 vers un autre VLAN pour rester ceinture et bretelle face aux "envahisseurs".

Note 2 : le materiel commun pourra etre mis sur son propre VLAN, tout comme le matos proto qui peut planter le reseau, ou comme le materiel de chaque client qui peut avoir son propre VLAN, etc.

Connection livebox pro : je repere le connecteur utilisé sur le switch, et je le plugge/associe/configure sur le VLAN10 (pro) en "untagged" (sans etiquette visible). Je fais de meme avec la livebox famille sur le VLAN20. Ici les deux livebox cohabitent sur le meme switch mais sur des reseaux separés. Je procede de la meme facon pour chaque element de chaque reseau. Et la les MAC ne vont pas se melanger et sans avoir a les gerer. 

Et vous faites bien gaffe a ne pas mixer les plans d'adressage des livebox pour faire propre.

On remarque au passage qu'on ne touche plus aux cables une fois que tout est connecté sur le switch... si je veux deplacer une machine d'un reseau a l'autre... je me connecte sur le switch et je reconfigure les ports utilisés.

Si on veut securiser ca encore plus on sort les ACLs pour dire qui cause sur un port et eventuellement a qui sur chaque reseau ethernet (L2). Ca peut devenir lourd assez vite.

Par contre si j'ai une workstation donc pro qui doit utiliser mon imprimante située sur le reseau famille :

• Elle a deux prises ethernet  : je la connecte sur les deux reseaux avec le deux prises qui seront chacune configurée par une livebox.
• Je n'ai qu'une prise sur ma workstation... ben on va faire pareil en virtualisant tout ca. La je change la configration du port utilisé sur le switch et j'en fait un "stub". c'est a dire qu'il va passer les VLAN 10 et 20 sur le meme cable ! j'associe donc ce port a chacun des VLAN en "tagged" (avec etiquettes visibles en dehors du switch). Par contre la workstation c'est du pro donc si il y a une fuite de donnée (ca arrive...) : il faut que par defaut ca aille dans le vlan 10 : je regle le parametre PVID sur 10. tout ce qui rentre dans le switch sans etiquette s'ecoule alors dans le reseau pro. Ensuite, sur la workstation, je nettoie la config du port ethernet (port "up", sans IPv4 ou IPv6 configurée) et je crée les VLAN 10 et 20 associé à ce port ethernet avec le DHCP activé dessus. Vous avez donc maintenant deux interfaces gerées chacune par une livebox differente au niveau IP. vous imprimez sur l'IP de l'imprimante famille ca part sur le reseau famile, vous accedez a vos bidules pro ca part sur votre reseau pro.
• Un fois que ca marche, en fonction des requis pro, je securise avec les ACLs.

Second cas : vous ne voulez pas jouer avec les VLANs sur la workstation ! C'est a ce moment là uniquement qu'intervient un routeur/firewall. Connecté sur deux ports si le switch doit lui desembrouiller les VLANs, ou connecté sur un seul port si le routeur est capable de faire du 802.1q.

Ici au plus simple vous faites un NAT du reseau pro vers le reseau famille et accessoirement vous passez tout le reste en mode "on bloque tout". Ca va vous creer une "diode" avec un routeur de supermarché si il a une prise WAN et des prises LAN ! Ici ce routeur devient la gateway pour le reseau famille sur le reseau pro : ca demande de creer une route sur les machines clientes pro pour acceder au reseau famille. C'est fait soit en statique à la mano sur chaque machine impactée qui doit imprimer par exemple depuis le reseau pro vers l'imprimante, soit en dynamique.

Pour ma part je ne m'*mm*rd* plus : je fais ca en dynamique, chaque routeur chez moi utilise le protocole RIP (ou OSPF si besoin) pour propager ses routes partout jusque sur ma workstation : c'est un peu le "DHCP" des routeurs! le RIP demande tres peu de configuration c'est quasiment PnP. Malheureusement, Orange cache ça dans les entrailles de sa livebox et le laisse desactivé. C'est le genre de truc qui donne l'impression qu'on s'amuse a vous sautiller sur les nougats alors que ca pourrait marcher tout seul. (sur les LB & et 2 il suffisait de passe en CLI pour debloquer ca.). M'enfin vu que vous avez deja plusieurs routeurs ca ne doit pas vous etre etranger.

Note : on ne peut pas nonplus regler la gateway sur une livebox : ca elimine le cas simple de la gateway du DHCP reglé pour mener au routeur "diode" qui trie les billes avant d'envoyer ca au reseau famille ou a la livebox locale. Et c'est partiellement pour ca que j'ai un VLAN specifique entre le routeur/firewall et la livebox.

Si votre routeur vous a couté plus cher : vous pouvez avoir une gestion fine, meme du bi-nat, etc avec son firewall interne. C'est une autre facon de faire.

Chez moi j'ai plusieurs VLANs qui sont dispatchés dans toute la maison et des petits switches qui me dispatchent les ports vers les clients locaux. J'ai un VLAN TV pour la TV orange a disposition et ca ne bave pas. J'ai meme un VLAN IoT pour les machins avec des firmware dont on ne peut pas s'assurer de la qualité ou qui sont encloudés. Et j'ai un routeur/firewall sur un seul port ethernet qui fait le boulot derriere la livebox  pour tous les VLANs (dont 1 VLAN livebox out-firewall in : il n'y a que des connections vers les switchs).

Pour dispatcher les VLANs entre switchs : on cree des stubs entre les switchs et ca court dans les murs. Et pour les liens entre deux switchs physiquement voisins : on fait meme des "trunks" pour aggreger plusieurs ports ethernet en une liaison.

La connection d'un switch non managé sur un switch managé sur fait sur un port "untagged". le switch non managé apparetient alors au reseau associé au port physique du switch managé.

Pour ma part j'utilise du linksys tel le LGS308 (maintenant ce doit etre  un LGS310 ou un truc du genre) pour le "moins serieux" et du Ciscopour le pro (c'est pas moi qui choisi et qui gere ca) . Les deux marques sont issu de cisco. linksys etant la branche semi-pro rachetée par belkin.

Et j'ai un peu d'ACL dans les coins pour les trucs qui "bavent".

[#8]

Re,

Et pour tripatouiller le routage L2 en triturant les adresses MAC : c'est un proxy arp (IPv4) ou un proxy ndp (IPv6) qu'il vous faut. Je n'ai pas tartiné dessus : la configuration est specifique a chaque installation. Et accessoirement, utiliser ca, qu'on n'aime ou pas les reseaux :c'est comme jouer a la roulette russe avec un missile anti-char. On gagne a tout les coups le droit de ne pas recommencer.

Hop!

[#9]

Merci beaucoup pour toutes ces infos, je ne sais pas encore trop bien quel routers choisir, mais je prend tout ca en compte. Je m'en occupe quand j'en aurais le temps

[#10]

Bonjour,

prenez en un qui implemente RIP et/ou OSPF avec ou sans  clef de securité associée (clef pas trop utile dans le cadre du bureau a la maison sauf contrainte externe venant de vos men-in-black pour la partie boulot).

Ca aura le merite de s'autoconfigurer avec vos autres routeurs sans autre forme d'action.