Journal Mon réseau (aussi)

12
15
déc.
2014

Sommaire

Dans la mouvance des journaux actuels, j'ai décidé de montrer le mien (de réseau). En effet, je pense qu'il contient - aussi - certaines spécificités pouvant en intéresser d'autres que moi.

Réseau Richard

WAN

La partie WAN est constituée de deux Freebox V6 en mode bridge. Je ne les ai pas configurées en mode routeur parce que je considère tout simplement que ce n'est plus leur rôle à partir du moment où j'intercale un routeur "maison".

LAN

Le NAS (Synology DS214Play) est utilisé pour la sauvegarde des serveurs via rsync et le stockage des fichiers pour le LAN et le WLAN, et gère le serveur LDAP du réseau. Il est aussi utilisé pour l'encodage des vidéos, photos et musiques à la volée (d'où le "Play" à la place du "+" habituel), à destination des périphériques multimédias (platine Dune HD-MAX au salon et HD-TV101 dans la chambre, ainsi que les téléphones et tablettes, non présents sur le diagramme).

WLAN

Le point d'accès sans-fil TP-Link TL-WA801N est configuré pour une authentification RADIUS, dont les identifiants sont fournis par le LDAP.

DMZ

La DMZ est constituée de trois serveurs.

Mercure héberge tous mes sites publiques, Minerve le serveur mail (sous Zimbra) et XMPP (sous OpenFire), et Gitus le serveur git sous Gitlab. A l'exception de Minerve (Ubuntu 14.04), les serveurs sont sous Debian stable.

Cerbere

Sous Debian GNU/Linux, doté des incontournables patches de Julian Anastasov, son rôle est d'assurer la sécurité du réseau et de distribuer les connexions Internet (load-balancing et fail-over, même si ces termes sont peut être un peu usurpés). Il héberge le serveur freeRADIUS pour l'authentification des clients du WLAN, Apache en tant que proxy pour les sites locaux, bind en tant que cache DNS, serveur pour les domaines locaux et pour le blocage de domaines indésirables.

Load-balancing et fail-over

Bien que ce soient les patches sus-mentionnés qui font pratiquement tout, il faut tout de même constituer un firewall et une table de routage corrects. Je me suis donc préparé les scripts qui vont suivre, mais dans un premier temps, il faut créer les tables qui vont bien dans le fichier /etc/iproute2/rt-tables:

#
# reserved values
#
255     local
254     main
253     default
0       unspec
#
# local
#
1       ISP1
2       ISP2

Maintenant, le script qui va modifier la table de routage:

#!/bin/bash

# ----| Configuration |--------------------------------------------------------

P1_NET="xxx.xxx.xxx.0/24"   # Réseau WAN 1
IF1="eth1"                  # Interface WAN 1
IP1="xxx.xxx.xxx.xxx"       # IP WAN 1
T1="1"                      # Identifiant de la table de routage
P1="xxx.xxx.xxx.254"        # Passerelle WAN 1

P2_NET="xxx.xxx.xxx.0/24"   # Réseau WAN 2
IF2="eth2"                  # Interface WAN 2
IP2="xxx.xxx.xxx.xxx"       # IP WAN 2
T2="2"                      # Identifiant de la table de routage
P2="xxx.xxx.xxx.254"        # Passerelle WAN 2

DMZ_NET="10.0.0.0/16"       # Réseau DMZ
DMZ_IF="eth3"               # Interface DMZ

LAN_NET="10.1.0.0/16"       # Réseau LAN
LAN_IF="eth4"               # Interface LAN

WLAN_NET="10.2.0.0/16"      # Réseau WLAN
WLAN_IF="eth0"              # Interface WLAN

# ----| Modification de la table de routage |----------------------------------

# Purge du cache des routes
ip route flush cache

# Purge des règles
ip rule flush

# Ce qui vient de $IP1 va dans la table ISP1,
ip rule add from $IP1           pref 1500   lookup 1
# ce qui vient de $IP2 va dans la table ISP2,
ip rule add from $IP2           pref 1501   lookup 2
# et ce qui est marqué par iptables va dans la table correspondante
ip rule add fwmark 1            pref 2000   lookup 1
ip rule add fwmark 2            pref 2001   lookup 2

# Règles par défaut
ip rule add from all            pref 32766  lookup main
ip rule add from all            pref 32767  lookup default

# Purge des routes existantes
ip route flush table main
ip route flush table 1
ip route flush table 2

ip route add $P1_NET dev $IF1 src $IP1
ip route add $P2_NET dev $IF2 src $IP2

ip route add $P1_NET dev $IF1 src $IP1 table $T1
ip route add 127.0.0.0/8 dev lo table $T1
ip route add default via $P1 table $T1

ip route add $P2_NET dev $IF2 src $IP2 table $T2
ip route add 127.0.0.0/8 dev lo table $T2
ip route add default via $P2 table $T2

ip route add $LAN_NET dev $LAN_IF
ip route add $LAN_NET dev $LAN_IF table $T1
ip route add $LAN_NET dev $LAN_IF table $T2

ip route add $WLAN_NET dev $WLAN_IF
ip route add $WLAN_NET dev $WLAN_IF table $T1
ip route add $WLAN_NET dev $WLAN_IF table $T2

ip route add $DMZ_NET dev $DMZ_IF
ip route add $DMZ_NET dev $DMZ_IF table $T1
ip route add $DMZ_NET dev $DMZ_IF table $T2

ip route add default scope global nexthop via $P1 dev $IF1 weight 1 nexthop via $P2 dev $IF2 weight 1

# IPv6
# A décommenter plus tard :)

#ip -6 route add xxxx:xxxx:xxxx:d141::/64 dev $LAN_IF
#ip -6 route add xxxx:xxxx:xxxx:d142::/64 dev $WLAN_IF
#ip -6 route add xxxx:xxxx:xxxx:d143::/64 dev $DMZ_IF

#ip -6 route add xxxx:xxxx:xxxx:1591::/64 dev $LAN_IF
#ip -6 route add xxxx:xxxx:xxxx:1592::/64 dev $WLAN_IF
#ip -6 route add xxxx:xxxx:xxxx:1593::/64 dev $DMZ_IF

Pensez à bien modifier les adresses IP et réseaux au début du fichier. Ce que nous faisons ici, c'est supprimer les tables de routage existantes pour les recréer "à la main", parce que c'est toujours mieux quand on fait soi-même…

Pour les routes liées à IPv6, il s'agit des préfixes que vous aurez choisi dans la console de gestion de vos Freebox (voir plus bas).

Enfin, le firewall:

#!/bin/bash

echo 1 > /proc/sys/net/ipv4/ip_forward

# ----| Paramètres |-----------------------------------------------------------

WAN_IF="eth1"
WAN_IP="xxx.xxx.xxx.xxx"

WAN2_IF="eth2"
WAN2_IP="xxx.xxx.xxx.xxx"

LAN_IF="eth4"
LAN_NET="10.1.0.0/16"

WLAN_IF="eth0"

DMZ_IF="eth3"
DMZ_NET="10.0.0.0/16"

HOST_XMPP="10.0.0.3"
HOST_SSH="10.0.0.4"
HOST_MAIL="10.0.0.3"

iptables -t nat -F
iptables -t nat -X

iptables -t mangle -F
iptables -t mangle -X

iptables -F
iptables -X

iptables -P INPUT DROP
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT

iptables -t mangle -A PREROUTING -j CONNMARK --restore-mark
iptables -t mangle -A PREROUTING -m mark ! --mark 0 -j ACCEPT
iptables -t mangle -A PREROUTING -j MARK --set-mark 1
iptables -t mangle -A PREROUTING -m statistic --mode random --probability 0.5 -j MARK --set-mark 2

# Freebox 1 et 2
iptables -t mangle -A PREROUTING -d 10.0.255.1 -j MARK --set-mark 1
iptables -t mangle -A PREROUTING -d 10.0.255.2 -j MARK --set-mark 2

iptables -t mangle -A PREROUTING -j CONNMARK --save-mark

# Freebox 1 et 2
iptables -t nat -A PREROUTING -d 10.0.255.1 -j DNAT --to-destination 212.27.38.253
iptables -t nat -A PREROUTING -d 10.0.255.2 -j DNAT --to-destination 212.27.38.253

# Masquerade (partage des connexions Internet)
iptables -t nat -A POSTROUTING -o $WAN_IF -j SNAT --to-source $WAN_IP
iptables -t nat -A POSTROUTING -o $WAN2_IF -j SNAT --to-source $WAN2_IP

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Décommenter pour pouvoir pinguer cette machine
#iptables -A INPUT -p icmp -j ACCEPT

# On accepte ce qui vient des réseaux internes
iptables -A INPUT -i $LAN_IF -j ACCEPT
iptables -A INPUT -i $WLAN_IF -j ACCEPT
iptables -A INPUT -i $DMZ_IF -j ACCEPT

# Autres règles (services locaux, NAT, etc.)

Avec deux Freebox, il fallait trouver une astuce pour accéder à leur interface de gestion et au multi-poste. J'ai retenu l'idée de créer une zone DNS avec des enregistrements de type freebox1.mondomaine.lan et freebox2.mondomaine.lan, pointant respectivement sur 10.0.255.1 et 10.0.255.2, d'où la présence de ces adresses dans ce script. Après avoir marqué les paquets en fonction de la destination voulue, je DNAT sur l'IP de mafreebox.freebox.fr (212.27.38.253).

Le "load-balancing" se fait aux lignes suivantes:

iptables -t mangle -A PREROUTING -j MARK --set-mark 1
iptables -t mangle -A PREROUTING -m statistic --mode random --probability 0.5 -j MARK --set-mark 2

où l'on marque un paquet sur deux avec --set-mark 2.

Certains sites risquent de poser problème avec ça, lorsqu'ils valident l'adresse IP au cours d'une session. Puisqu'un paquet sur deux passe par une connexion Internet, l'IP vue par le site en question change une fois sur deux (grosso modo).

Pour éviter cela, il faut marquer tous les paquets à destination de l'hôte en question avec la même marque. Ci-dessous, l'exemple avec la console de gestion de Online (console.online.net soit 62.210.16.3):

iptables -t mangle -A PREROUTING -d 62.210.16.3 -j MARK --set-mark 1

Cette ligne est à placer avant la ligne suivante:

iptables -t mangle -A PREROUTING -j CONNMARK --save-mark

Où l'on enregistre le marquage des paquets. Répéter l'opération pour tous les sites qui posent problème (d'expérience, ils sont peu nombreux, à vrai dire seul Online a requis cet ajout en ce qui me concerne mais la situation peut être bien différente en fonction des sites que vous fréquentez).

A noter qu'il est possible de remplacer la ligne:

iptables -t mangle -A PREROUTING -d 62.210.16.3 -j MARK --set-mark 1

Par:

iptables -t mangle -A PREROUTING -d console.online.net -j MARK --set-mark 1

Mais en ce qui me concerne, iptables n'aime pas. Il semblerait qu'une option du noyau soit requise, mais j'ignore laquelle (je vous invite à me l'indiquer si vous la connaissez). En tout cas, cela permet de simplifier la gestion de son firewall, c'est donc une piste à suivre.

Il suffit maintenant d'appeler ces deux scripts au démarrage de la machine. Sous debian, j'ai l'habitude de lancer mes scripts depuis le fichier /etc/rc.local.

IPv6

IPv6, avec le routage, fait partie des choses qui me filent la frousse. Je me suis mis bien trop tard par rapport à ce que j'aurai dû/pu et c'est bien dommage, parce que finalement, ce n'est pas si compliqué.

Il faut préciser que ce que j'ai fais fonctionne, mais ce n'est peut être pas l'idéal. Aussi, j'accepte volontiers vos conseils pour améliorer ma configuration.

J'ai opté pour la délégation de préfixe: chaque Freebox permet de déléguer jusqu'à huit préfixes. J'en ai choisi trois par Freebox (un par réseau interne), et je les ai configuré comme suit:

Dans la console de gestion de chaque Freebox, aller dans Paramètres de la Freebox, Mode avancé puis Configuration IPv6.

Freebox Délégation de préfixe

Je ne configure pas de nexthop sur le premier préfixe parce que sinon les interfaces de Cerbere reliées aux Freebox ne reçoivent plus d'adresse IPv6. L'adresse Next Hop correspond à l'adresse Lien local affichable via un simple ifconfig sur l'interface reliée à la Freebox.

Maintenant, on installe quelques paquets:

apt-get install wide-dhcpv6-client radvd

Et on les configure:

nano /etc/wide-dhcpv6/dhcp6c.conf
# Interface de la première Freebox
interface eth1 {
    send ia-pd 0;
    send ia-pd 1;
    send ia-pd 2;
};

id-assoc pd 0 {
    # LAN
    prefix-interface eth4 {
        sla-id 1;
    };

    prefix xxxx:xxxx:xxxx:d141::/64 18000;
};


id-assoc pd 1 {
    # WLAN
    prefix-interface eth0 {
        sla-id 1;
    };

    prefix xxxx:xxxx:xxxx:d142::/64 18000;
};


id-assoc pd 2 {
    # DMZ
    prefix-interface eth3 {
        sla-id 1;
    };

    prefix xxxx:xxxx:xxxx:d143::/64 18000;
};

# Interface de la deuxième Freebox
interface eth2 {
    send ia-pd 3;
    send ia-pd 4;
    send ia-pd 5;
};

id-assoc pd 3 {
    # LAN
    prefix-interface eth4 {
        sla-id 1;
    };

    prefix xxxx:xxxx:xxxx:1591::/64 18000;
};


id-assoc pd 4 {
    # WLAN
    prefix-interface eth0 {
        sla-id 1;
    };

    prefix xxxx:xxxx:xxxx:1592::/64 18000;
};


id-assoc pd 5 {
    # DMZ
    prefix-interface eth3 {
        sla-id 1;
    };

    prefix xxxx:xxxx:xxxx:1593::/64 18000;
};

Puis la configuration de radvd

nano /etc/radvd.conf
# LAN
interface eth4
{
    AdvManagedFlag off;
    AdvOtherConfigFlag off;
    AdvSendAdvert on;
    AdvDefaultPreference high;
    AdvLinkMTU 1280;

    prefix xxxx:xxxx:xxxx:d141::/64
    {
        AdvOnLink on;
        AdvAutonomous on;
    };

    prefix xxxx:xxxx:xxxx:1591::/64
    {
        AdvOnLink on;
        AdvAutonomous on;
    };
};

# WLAN
interface eth0
{
    AdvManagedFlag off;
    AdvOtherConfigFlag off;
    AdvSendAdvert on;
    AdvDefaultPreference high;
    AdvLinkMTU 1280;

    prefix xxxx:xxxx:xxxx:d142::/64
    {
        AdvOnLink on;
        AdvAutonomous on;
    };

    prefix xxxx:xxxx:xxxx:1592::/64
    {
        AdvOnLink on;
        AdvAutonomous on;
    };
};

# DMZ
interface eth3
{
    AdvManagedFlag off;
    AdvOtherConfigFlag off;
    AdvSendAdvert on;
    AdvDefaultPreference high;
    AdvLinkMTU 1280;

    prefix xxxx:xxxx:xxxx:d143::/64
    {
        AdvOnLink on;
        AdvAutonomous on;
    };

    prefix xxxx:xxxx:xxxx:1593::/64
    {
        AdvOnLink on;
        AdvAutonomous on;
    };
};

Là encore bien remplacer les préfixes par ceux que vous avez choisi dans l'interface de gestion des Freebox (ou autre modem IPv6).

Vous pouvez maintenant décommenter les lignes relatives aux routes IPv6 dans le premier script fourni plus haut, relancer ce dernier, et tester votre connexion.

Pour référence, cette page m'a bien aidé dans mes pérégrinations. De même, la cheat sheet de Jens Roesen a été fort utile.

C'est juste avant la création d'un script avec ip6tables pour sécuriser la portion IPv6 de mon réseau que j'ai abandonné, faute de temps. Il me manque donc cette partie de mon réseau, ainsi que la gestion de mes DNS publics en IPv6. Je m'y collerai dès que j'en aurai l'occasion.

Remerciements

Je me dois de remercier mon ami chrisk qui m'a accordé beaucoup de son temps afin de mener à bien l'installation de mon réseau. C'est lui qui a patché puis recompilé le noyau de Cerbere à la sauce Debian, et qui m'a donné les pistes et informations utiles au load-balancing et au fail-over. Un grand merci à lui.

  • # Référence

    Posté par (page perso) . Évalué à 3.

    J'ai oublié de préciser que ce billet fait référence à un topic que j'ai ouvert sur le forum, et par conséquent, j'ai commis l'erreur d'oublier de remercier ici ceux qui m'ont répondu et aidé. Merci à eux aussi !

    • [^] # Re: Référence

      Posté par (page perso) . Évalué à -5.

      ton schéma réseau est un tout petit peu plus moche que pour le journal sur numéricable (indication : il n'y en a pas), mais vachement moins joli que sur le journal sur un réseau domestique.

      Ce serait pas mal que vous fassiez des schémas communs et cohérents (et jolis).

      • [^] # Re: Référence

        Posté par (page perso) . Évalué à 1.

        Tu as posté deux fois le même link, mais j'ai compris l'idée :)
        Je n'avais pas envie de me prendre la tête avec un Dia et des icônes custom. Mais je ferai peut-être une mise à jour quand j'aurai du temps à y consacrer :)

        • [^] # Re: Référence

          Posté par (page perso) . Évalué à 4. Dernière modification le 15/12/14 à 23:40.

          ah merde, bien vu le second lien d'un réseau bien conçu, forcément c'est avec inkscape et openclipart voire pango (pour l'homogénéité).

          dia ne gère pas le svg à ma connaissance :/ inkscape fait le boulot (même si je préférerais dia de base, mais avec du svg et tout openclipart pour un beau rendu ! ça tient à peu de chose…).

          (un admin ou modérateur corrigera, oumph donc… sinon j'aurais pu le faire avant, ce que je faisais, même si personne ne le savait).

          • [^] # Re: Référence

            Posté par (page perso) . Évalué à 1.

            Merci pour le réseau bien conçu ;)

            C'est effectivement du inkscape et openclipart

            Par contre, c'est yekcim qui a utilisé les icônes Tango. Comme je suis plutôt du côté KDE de la force, je me suis tourné vers Oxygen

            Je n'ai découvert le pack VRT (grâce à Janfi) que le lendemain.

          • [^] # Re: Référence

            Posté par . Évalué à 1.

            Tu peux exporter en svg tes schémas Dia.

        • [^] # Re: Référence

          Posté par (page perso) . Évalué à 5.

          Inutile de se prendre la tête :
          - LibreOffice Draw
          - extension VRT networks : http://www.vrt.com.au/downloads/vrt-network-equipment (paquet Fedora dispo dans les repos officiels).

          • [^] # Re: Référence

            Posté par (page perso) . Évalué à 1.

            Oui, j'avais vu ça dans un autre post sur lfr, mais je n'ai pas pris le temps de m'y mettre…

            J'essaye d'embellir ça demain :)

  • # Bah merde alors!

    Posté par (page perso) . Évalué à 2.

    Euh, moi, j'ai une 2 freebox aussi, une chez moi et une chez ma copine \o/

    Je dois dire bravo pour ton "petit" réseau même si je reste perplexe sur l'utilité de tout cela chez soi ;)

    Pourquoi tant de serveurs? Pourquoi de pas utiliser le Wifi de tes box?

    • [^] # Re: Bah merde alors!

      Posté par (page perso) . Évalué à 4.

      Pourquoi tant de serveurs?

      Parce que je passe mon temps à faire n'importe quoi sur le réseau, et que du coup, je passe mon temps à couper l'une ou l'autre machine pour faire des modifs hardware dessus.

      Si je coupe le serveur web, ça ne m'empêche pas de lire et envoyer des mails.

      Par ailleurs, je ne suis pas fan de virtualisation, ce qui, dans mon cas, ne me serait pas d'une grande utilité vu que c'est au niveau hardware que j'aime bien faire mes bidouilles :)

      Pourquoi de pas utiliser le Wifi de tes box?

      Par soucis de découplage ? Parce que je veux une authentification RADIUS ? Parce que c'est possible !

      • [^] # Re: Bah merde alors!

        Posté par . Évalué à 4.

        Par ailleurs, je ne suis pas fan de virtualisation

        Petite question :
        T'y es tu déjà réellement mis ?

        kentoc'h mervel eget bezan saotred

        • [^] # Re: Bah merde alors!

          Posté par (page perso) . Évalué à 1.

          Je sens comme un jugement poindre de ta question :)

          Je ne vois pas d'intérêt à faire de la virtualisation sur mon réseau.

          Néanmoins je connais son utilité dans d'autres circonstances.

          • [^] # Re: Bah merde alors!

            Posté par . Évalué à 3.

            Belle façon de ne pas répondre à ma question ;-)
            Il n'y a pas de jugements c'est juste que j'adore la virtualisation, je trouve ça purement génial.

            kentoc'h mervel eget bezan saotred

            • [^] # Re: Bah merde alors!

              Posté par (page perso) . Évalué à 1.

              D'accord alors plus clairement: je n'ai pas l'intérêt de m'y mettre sur un plan privé, et je n'ai pas eu l'occasion de m'y mettre sur le plan professionnel :)

    • [^] # Re: Bah merde alors!

      Posté par . Évalué à 6.

      Plus sérieusement, c’est quoi l’avantage d’avoir deux fois le même FAI plutôt que des FAIs différents ?

      • [^] # Re: Bah merde alors!

        Posté par (page perso) . Évalué à 3.

        Je sais, pour des raisons purement techniques, il aurait été plus intelligent d'opter pour deux FAIs différents.

        Les raisons pour lesquelles j'ai opté pour free pour mes deux connexions sont plus triviales:

        • j'aime free et les freebox V6
        • mes connexions sont stables (le fail-over m'est principalement utile quand je bidouille mon réseau)
        • ca me permet de bénéficier de deux forfaits mobiles à prix réduit (le mien + celui de mon épouse)
        • la question du type de connexion (VDSL, fibre) ne se pose pas parce que a. je suis trop loin du répartiteur et b. je ne suis pas fibré
  • # Poisson rouge

    Posté par (page perso) . Évalué à 1.

    J'ai oublié deux choses importantes dans la section IPv6 (merci ma mémoire de poisson rouge…)

    Dans /etc/sysctl.conf, rajouter:

    net.ipv6.conf.all.forwarding=1
    
    # Freebox 1
    net.ipv6.conf.eth1.accept_ra=2
    
    # Freebox 2
    net.ipv6.conf.eth2.accept_ra=2
    

    Sinon pas de forwarding en IPv6 (et donc pas d'accès IPv6 pour les clients).

    Et modifier le fichier /etc/network/interfaces:

    auto lo
    iface lo inet loopback
    
    # WLAN
    auto eth0
    iface eth0 inet static
            address 10.2.0.1
            netmask 255.255.0.0
    
    # DMZ
    auto eth3
    iface eth3 inet static
            address 10.0.0.1
            netmask 255.255.0.0
    
    # LAN
    auto eth4
    iface eth4 inet static
            address 10.1.0.1
            netmask 255.255.0.0
    
    # Freebox 1
    auto eth1
    iface eth1 inet dhcp
    iface eth1 inet6 static
    
    # Freebox 2
    auto eth2
    iface eth2 inet dhcp
    iface eth2 inet6 static
    

    Où l'on configure les interfaces WAN en static pour IPv6 afin d'éviter toute reconfiguration automatique malvenue…

  • # un petit réseau standard quoi !

    Posté par . Évalué à 2.

    Sympa et effectivement instructif. Pas forcément à la portée de tout le monde cependant ;-)

    Aurais tu plus de détails sur ta gestion du multimédia. Tu passes très vite dessus mais tu n'as aucun problème avec des équipements android par ex ? Comment gères tu les partages ? les autorisations au contenu media ?

    Autre question bête : tu as 2 lignes physiques ?

    Ce n'est pas parce que les choses sont difficiles que nous n'osons pas. C'est parce que nous n'osons pas qu'elles sont difficiles. - Sénéque

    • [^] # Re: un petit réseau standard quoi !

      Posté par (page perso) . Évalué à 3.

      Je passe très vite sur le multimédia en effet parce que j'ai surtout voulu parler du dual-WAN :)

      Mais pour faire simple: je n'ai rien de spécial à faire, merci Synology ! Il suffit d'installer {Photo,Video,Music}Station sur le NAS, et les applications Android correspondantes pour que le NAS transcode à la volée les flux et que le terminal Android les lise sans encombre (y compris les flux HD même si le terminal ne supporte pas une telle résolution, le tout sans saccade). Précision: ça marche très bien aussi avec mon téléviseur et ma platine Blu-ray, l'essentiel pour ce type de terminal étant qu'il soit compatible DLNA. Les platines Dune passent par les partages CIFS par contre.

      Le NAS et les téléchargements: https://www.synology.com/fr-fr/products/DS214play.

      Pour les partages, toujours depuis le NAS, c'est tout en CIFS (donc partages Windows) et NFS pour le TFTP. Les autorisations sont simplement données par les acls que le NAS permet de gérer très finement. Et pour l'accès depuis un périphérique DLNA, tu peux spécifier les adresses IP autorisées à se connecter. Depuis un périphérique Android, c'est les comptes utilisateurs du NAS qui sont utilisés.

      Autre question bête

      J'ai connu un coach qui disait "Il n'y a pas de question bête, seules les réponses peuvent l'être" :)

      tu as 2 lignes physiques ?

      Absolument.

      • [^] # Re: un petit réseau standard quoi !

        Posté par . Évalué à 1.

        Ah oui donc tu es limité par le DLNA ici … avec une télé sans DLNA point de salut sans mediaplayer j'imagine ?

        en tout cas merci pour la réponse : c'est pas si trivial que ça!

        Ce n'est pas parce que les choses sont difficiles que nous n'osons pas. C'est parce que nous n'osons pas qu'elles sont difficiles. - Sénéque

  • # À propos du Cerbère.

    Posté par . Évalué à 1.

    Pourquoi une Debian "patchée" plutôt que Pfsense, ou Ipcop, etc ?

    • [^] # Re: À propos du Cerbère.

      Posté par (page perso) . Évalué à 2.

      • A part Pfsense, je n'ai trouvé aucun OS libre qui permette de faire du fail-over + du load-balancing + les autres fonctionnalités que je voulais implémenter. ZeroShell est pas mal mais ne gère pas IPv6 et ne me permet pas de facilement faire du blocage DNS, Untangle a des fonctionnalités payantes, ClearOS m'a semblé relativement lent quand je l'ai essayé en local. IpCop, IpFire, Monowall ne supportent pas deux WAN, etc.
      • En le faisant moi-même, c'est du sur-mesure: là je gère moi-même la liste des domaine bloqués directement sur la passerelle avec un proxy Apache pour les sites situés sur les réseaux internes où qu'ils soient (par exemple j'utilise PhotoStation sur le NAS qui est sur le LAN, mais n'est pas directement exposé puisqu'Apache sur Cerbere fait office de proxy avec mod_security), c'est Cerbere qui gère le freeRADIUS (plus logique que de laisser ça au NAS par exemple, ce que je faisais avant de monter ce réseau)
      • Quant aux firewall hardware, soit ils sont trop chers, soit ils manquent de fonctionnalités (j'ai l'habitude de recommander TP-Link par exemple, qui sont excellents outre le manque de souplesse au niveau du DHCP, impossible de specifier un next-server avec filename pour faire du netboot par exemple). J'avais vu aussi les produits de Microtik (ils ont des routeurs sexy…) mais RouterOS a l'air d'être une vacherie à gérer…
      • [^] # Re: À propos du Cerbère.

        Posté par . Évalué à 2.

        Je ne m'intéresse qu'aux solutions libres, en fait. Je ne suis pas un administrateur réseau chevronné (l'informatique n'étant pas mon coeur de métier, j'apprends peu à peu). J'utilise Ipcop, qui permet d'avoir une assez bonne protection "out of the box", sous réserve bien sûr de ne pas faire n'importe quoi derrière.
        Oui, exact, c'est un premier verrou, le besoin de plusieurs WAN est assez atypique, hors d'une entreprise.
        J'essayerai Pfsense un jour, ça m'a l'air d'être une des solutions libres en parefeu parmi les plus abouties.

        • [^] # Re: À propos du Cerbère.

          Posté par (page perso) . Évalué à 1.

          Je te conseille quand même de tester ZeroShell qui est extrêment léger (il tourne sur une clé USB, pas d'installation sur disque) et très facile à configurer, même si tu passe à Pfsense ensuite.

          Pour ce qui est des deux WAN, à la base il y en avait une payée par mon boulot et l'autre était pour le "perso". La boîte a fermée mais je trouvais ça confortable d'avoir deux connexions :)

      • [^] # Re: À propos du Cerbère.

        Posté par . Évalué à 3.

        je n'ai trouvé aucun OS libre qui permette de faire du fail-over + du load-balancing + les autres fonctionnalités que je voulais implémenter

        OpenWRT semble aussi avoir des solutions ou-of-the-box pour le multi-wan (N.B. je n'ai pas encore testé)

        http://wiki.openwrt.org/doc/uci/multiwan
        http://wiki.openwrt.org/doc/howto/multiwan.failower
        http://wiki.openwrt.org/doc/howto/mwan3

        • [^] # Re: À propos du Cerbère.

          Posté par (page perso) . Évalué à 1.

          Merci pour l'info. Je m'étais penché sur OpenWrt, mais je me sentais plus à l'aise avec Debian que je connais depuis longtemps et que j'affectionne particulièrement ^

  • # C'est énervant

    Posté par (page perso) . Évalué à 5.

    Ah tous ces sujets sur les réseaux domestiques ça Minerve Cerbère !

Suivre le flux des commentaires

Note : les commentaires appartiennent à ceux qui les ont postés. Nous n'en sommes pas responsables.