TV d'Orange TV par ADSL et Fibre Voir tous les sujets TV d'Orange

[#1]

Bonsoir,

alors d'un cote le routeur livebox, de l'autre le decodeur livebox play et entre les deux une machine linux avec iptables pour le routage.

Avant d'allez plus loin je me limite au simple routage entre les deux interface reseaux soit eth0 et eth1

voici la conf de l'IPTABLES

/sbin/iptables -A FORWARD -s 0/0 -i eth1 -p all -o eth0 -j ACCEPT
/sbin/iptables -t nat -A POSTROUTING --out-interface eth0 -j MASQUERADE
/sbin/iptables -A FORWARD --in-interface eth1 -j ACCEPT

Le probleme, le decodeur a une IP valide, le routage fonctionne bien dans les deux sens mais le decodeur ne trouve pas le flux donc LA question pourquoi ??? je suis ouvert a une idée et d'avance merci.

[#2]

sans doute parce que ton PC est vu comme un routeur et non comme un pont, autrement dit il ya deux segments réseaux séparés et le décodeur effectue des demandes en messages brodcast limité au LAN.

Le décodeur obtient son adresse IP en DHCP depuis ton PC vu comme routeur par défaut mais ensuite les envois ciblant son adresse MAC (et non son IP) ne traversent pas ton PC routeur.

On sait qu'Orange autorise les flux TV/VOD et tente d'authentifier ton décodeur et sa carte d'accès TV par une liaison directe.

Ca fonctionneera peut-être si ton configure ton PC Linux comme un pont (bridge), et si tu laisses la livebox lui fournit ses adresses IP et routage, à la place de ton PC (dont le serveur DHCP ne doit pas répondre, ou s'il répond à la place de la livebox, il doit fournir une adresse IP dans le même plage de routage)

Pense aussi que la livebox est connectée en IPv6 (je ne sais pas si le décodeur TV utilise l'IPv6, si c'est le cas son adresse IPv6 doit se trouver dans le même bloc que celui assigné à ta connexion pour ta livebox et tous tes équipement LAN (tu peux configurer un partage du bloc IPv6 sur ton PC routeur).

Quel intérêt sinon de séparer les connexions entre ta livebox et le décodeur TV ? Pour protéger les contenus de son mediacenter (son disque dur local) ? Connecte plutot le décodeur TV sur un des ports LAN de ta livebox et ton PC routeur linux sur un autre port (tu connecteras le reste de ton réseau LAN sur un second port Ethernet de ton PC linux (je suppose que tu veux gérer toi-même le parefeu de ton LAN).

Dans ce cas le disque dur du décodeur TV servira pour les enregistrements TV, mais pour le stockage réseau de ton LAN ce sera sur ton PC linux (configuré en mediacenter si tu veux) ou sur un NAS connecté via un hub ou switch Ethernet à ton PC linux.

Tu as aussi moyen de créer une DMZ sur la livebox pour y connecter ton PC routeur linux (les autres postes de ton LAN passeront par lui comme routeur pour dialoguer vers Internet).

La config peut être assez compliquée mais l'idéal serait que tu configures PC en bridge (la même adresse IPv4 et la même adresse MAC sur ses deux interfaces et non en routeur avec deux adresses IPv4 et deux adresses MAC et en IPv6 les deux interfaces dans le même bloc IPv6, celuik fournit sur ta connexion Livebox).

Il existe des exemples de configuraiton de Linux pour qu'il fonctionne en bridge (ce qui permet tout de même à ce PC de disposer de son adresse IP sur le LAN, de faire du filtrage/parefeu/antivirus, de l'inspection de trames, sans rien toucher sinon au trafic et en relayant les messagee en broadcast (ceux que ton PC ne filtrera pas).

[#3]

Bonjour,

L'ip du decodeur doit obligatoirement etre fourni par le dhcp de la livebox. Le flux TV qui necessite des données "variables" ne peut pas fonctionner autrement.

Et pour eviter tout probleme de gestion du flux TV, il est recommandé de brancher le decodeur directement sur la livebox.

Si vous voulez utiliser un autre serveur dhcp en local, le plus simple est de reduire la plage d'IP du dhcp de la livebox à 2 adresses (une pour le decodeur tv et une pour votre serveur), ainsi la livebox ne pourra pas attribuer d'autres adresses.

[#4]

Merci beaucoup Verdyp

Je pensais que la solution de pont ne pouvait pas coller avec la suite de mon installation, car tous les flux doivent passer par ce point qui servira de filtre, clamav par exemple, par la suite or tu dis:

"Tu as aussi moyen de créer une DMZ sur la livebox pour y connecter ton PC routeur linux (les autres postes de ton LAN passeront par lui comme routeur pour dialoguer vers Internet).

La config peut être assez compliquée mais l'idéal serait que tu configures PC en bridge (la même adresse IPv4 et la même adresse MAC sur ses deux interfaces et non en routeur avec deux adresses IPv4 et deux adresses MAC et en IPv6 les deux interfaces dans le même bloc IPv6, celuik fournit sur ta connexion Livebox).

Il existe des exemples de configuraiton de Linux pour qu'il fonctionne en bridge (ce qui permet tout de même à ce PC de disposer de son adresse IP sur le LAN, de faire du filtrage/parefeu/antivirus, de l'inspection de trames, sans rien toucher sinon au trafic et en relayant les messagee en broadcast (ceux que ton PC ne filtrera pas)."

Bon la tu a explosé ma curiosité et il faut que tu m'explique un peu mieux ta super idée car pour moi il faut du routage pour que clamav puisse faire son taf de filtrage.

[#5]

Merci pour la participation a la reflexion sur mon probleme aerotech

Une idée de la raison de cette restriction a utiliser le DHCP de la livebox ?

Peut etre des options dans le DHCP qui seraient pas diffusées par le mien ?

[#6]

Le DHCP de la Livebox est configurable : on peut redéfinir l'adresse IP locale (192.168.1.1) et le masque réseau (255.255.255.0) en cas de conflit avec un autre équipement sur le LAN ainsi que la plage utilisée pour les adresses assignée automatiquement.

Cependant le DHCP ne permet pas (contrairement aux box de Free, Bouygues, SFR/Numericable) de changer le DNS diffusé. Ca c'est gênant car le DNS fourni par Orange n'est PAS neutre.

J'aimerais bien utiliser OpenDNS à la place (il permet aussi de définir ses propres filtres sur des domaines indésirables, et comprend aussi un détecteur de domaines malveillants, un système de contrôle parental, un rapport statistique sur les domaines consultés).

Le DNS d'Orange est un véritable espion indésirable (et en plus il se permet de remplacer des noms de domaines en fournissant des infos alternatives vers ses propres serveurs).  Des DNS alternatifs existent : ceux d'OpenDNS ou ceux de Google.

En plus le serveur DNS proxy intégré à la box (qui relaye vers les DNS d'Orange) ne tient pas la route, il est limité en capacité et produit des erreurs indésirables (il est limité en nombre de requêtes de domaines qu'il peut traiter, faute de mémoire cache suffisante dans la Livebox).

Je demande absolument à ce qu'Orange nous laisse définir nous même nos propres serveurs DNS (même si le décodeur TV a besoin d'utiliser les DNS d'Orange, il n'a pas du tout besoin du DHCP de la Livebox pour ça !).

Forcer l'utilisation de ce DHCP limité (et non totalement configurable) de la Livebox est tolalement inacceptable.

Et qu'il nous laisse définir nos propres données DHCP (comme le fait LaBox de Numericable, ce qui n'a aucun impact pourtant sur la configuration et le fonctionenement de son décodeur TV, ni sur la téléphonie IP).

L'alternative c'est d'utiliser un routeur externe Ethernet-Ethernet, configuré en bridge entre la box et notre LAN, mais filtrant les requêtes DHCP venant du LAN pour répondre à la place de la Box. J'en ai un et ça marche (autre avantage, Orange n'ira jamais fouiller à distance dans notre réseau local (comme il se le permet !): cela apporte un second niveau de protection avec un second parefeu. Et on le sait les box d'Orange ont des firmwares trop peu pis à jour et sensibles à des attaques de sécurité externes. Mettre un second parefeu bloque des attaques qui passent facilement à travers les box bien connues des principaux FAI français.

Seul le décodeur TV est relié directement à la Livebox et je n'utilise pas son mediacenter et son stockage, non sécurisé. J'utilise mon propre NAS ou sinon pour les données partageables les clouds connus (comme Dropbox, One Drive, Google Drive), ou moins connus (mais encore plus sécurisé comme celui d'OVH); le cloud d'Orange ne me parait pas sécurisé du tout (il ne peut servir que pour sauvegarder des archives cryptées, avec un cryptage fort AES256 minimum).