Forum ORANGE Migration

Bonjour à tous,

Et voila ! Après plusieurs longues journées (et nuits ...) de bidouilles, tests, mise au point, reverse enginering, j'ai enfin réussi à me passer de Livebox pour les services Internet et surtout TV sur ma connexion fibre.

Il est donc l'heure de vous retransmettre tout ce que j'ai appris et surtout vous présenter un tuto pour construire le routeur qui va vous permettre d'arriver également à vos fins.

Avant de rentrer dans le vif du sujet, sachez que je tiens à remercier grandement les communautés d'utilisateurs des deux forums où j'ai pu glanner des informations très importantes qui m'ont permi d'avancer :
- Le "forum Orange non officiel" : http://www.forum-orange.com
- L'assoc Apeule : http://www.livebox.asso.fr

Ce tuto présente d'abord l'architecture réseau sur laquelle s'appuie Orange pour fournir le triple-play via ses services fibrés. Ensuite, on parlera de la mise en place de l'accès au net. Enfin, on terminera par le plus compliqué, la mise en place du service TV. Le grand absent de ce tuto est la ToIP, mais étant donné qu'elle est fortement liée, d'après ce que j'ai pu voir, à une authentification particulière de la livebox, je n'ai pas souhaité me lancer dans son hacking, ces manips étant, cette fois-ci, à la limite de la légalité. Sachez tout de même que pour l'instant, les services ToIP fibre d'Orange sont proposés via le protocole H323, en attendant le SIP, plus simple et facile à manier.

J'ai choisi de m'appuyer sur une machine de type PC exécutant Linux Debian pour effectuer tout le paramétrage. Pour autant, il est sans doute possible d'utiliser un routeur amélioré avec un firmware Linux embarqué ou un routeur/firewall Cisco (PIX/ASA par exemple) pour s'acquitter des tâches de routage et de bridge que l'on va découvrir. Les principes restent identiques quel que soit le matériel ou l'OS réseau utilisé.

La plateforme Debian doit disposer d'un certain nombre de packages pour assurer toutes les fonctions de routage et de bridging. Pour se faire, voici, à titre indicatif, la liste des principaux paquets à installer :

apt-get install pppoe iptables iproute ppp bridge-utils ebtables vlan traceroute

PRESENTATION DE L'ARCHITECTURE D'ACCES RESEAU FIBRE ORANGE

Pour son service Fibre, Orange a choisi de capitaliser sur ses infrastructures de FAI ADSL, plutôt que de tout remettre à plat. Cela a deux conséquences : D'une part, les principes qui prévalaient sur l'ADSL s'appliquent en grande partie sur la Fibre (net, tv, téléphonie) et d'autre part, coté Orange, cela leur permet de limiter le niveau d'investisement à du cablage. On pourra regretter ce dernier point, notamment au niveau de l'accès au Net (on verra pourquoi plus tard), mais c'est ainsi.

Voici le schéma synoptique d'un accès Fibre Orange :
Arrivée Fibre Monomode -> GPON (transceiver Optique/Cuivre + négo avec le central optique Orange) -> Ethernet Gigabit en mode "trunk" 802.1q

Une fois en trunk 802.1q, les les trames ethernet sont donc toutes tagguées suivant leur usage :
-> VLAN835 -> Internet (via PPPoE)
-> VLAN838 -> Services TV (nego http du décodeur + DHCP)
-> VLAN840 -> Services TV (streaming chaines)
-> VLAN841 -> Services TV (VoD)
-> VLAN851 -> Services ToIP

PARTIE 1 - Préparer la machine Linux

Ethernet Giga (sortie du GPON) -> (eth0) Linux Box (eth1) -> LAN

Nous allons partir du principe que la Linux Box va être placée en mode bastion entre l'accès fibre et le LAN. Pour se faire, la machine dispose de deux cartes ethernet distinctes (voir trois pour la connexion TV). Nous assumerons aussi le fait que l'interface eth1 de notre schéma est déjà préparé avec les paramètres de votre LAN.

Nous allons donc préparer les interfaces réseau pour que tout cela fonctionne.

D'abord, on créé les pseudo interfaces "vlan" qui seront connectées à l'eth0 pour intercepter les paquets taggués. Voici l'extrait du fichier /etc/network/interfaces

auto eth0
iface eth0 inet manual

# Net
auto vlan835
iface vlan835 inet manual
        vlan-raw-device eth0

# TV (nego)
auto vlan838
iface vlan838 inet manual
        vlan-raw-device eth0

# TV (multicast)
auto vlan840
iface vlan840 inet manual
        vlan-raw-device eth0

Nous allons nous cantonner à ces 3 vlans (835, 838 et 840) car ils suffisent à faire fonctionner le net et la TV, objet principal de ce tuto.

Vous noterez que la carte ethernet eth0 ne dispose pas d'ip, elle n'en a pas besoin et cela évite toute "polution" (broadcast, arp notamment) sur le coté fibre.

Ensuite, pour mettre en oeuvre ces vlans, il suffit soit de rebooter soit de forcer un "ifup" sur chaque vlan. Si vous aviez déjà paramétré l'interface eth0, je vous conseille tout simplement de rebooter.

PARTIE 2 - Accès à Internet sans Livebox

Comme déjà évoqué dans l'introduction, Orange à choisi de concerver pour la fibre ses infrastructures d'accès à Internet mises en place pour l'ADSL. On retrouve donc la désormais classique encapsulation PPPoE cher à l'opérateur depuis les débuts de l'accès haut débit.

Le principe est relativement simple, la mise en oeuvre, un peu moins . L'accès Internet est géré par un tunnel PPP qui s'appuie sur l'ethernet pour la couche réseau, le protocole PPPoE. Pour paramétrer tout cela, nous devons d'abord préparer la config ppp. Créez un fichier "ft" dans le répertoire /etc/ppp/peers

pty "/usr/sbin/pppoe -I vlan835 -T 80 -m 1452"
noipdefault
hide-password
lcp-echo-interval 20
lcp-echo-failure 3
connect /bin/true
noauth
persist
mtu 1492
usepeerdns
defaultroute
noaccomp
default-asyncmap
user "fti/******"

Indiquez votre user de connexion Orange complet dans la directive "user".

Ensuite, nous devons modifier les fichiers pap/chap du démon ppp. Pour se faire, modifiez les deux fichiers suivant (en remplaçant les étoiles par les valeurs de votre user de connexion) :

/etc/ppp/chap-secrets :

# Secrets for authentication using CHAP
# client    server    secret            IP addresses

"fti/*******"    *    "*******"

/etc/ppp/pap-secrets :

# Secrets for authentication using PAP
# client    server    secret            IP addresses

"fti/*******"    *    "*******"

Ensuite, nous allons rajouter une nouvelle interface dans le fichier /etc/network/interfaces :

auto ppp0
iface ppp0 inet ppp
    provider ft

Enfin, il reste à paramétrer le noyau Linux et les iptables pour assurer le NAT entre le LAN et la connexion Internet ainsi établie. On active d'abord le forwarding IP :

Dynamiquement d'abord :

echo "1" >/proc/sys/net/ipv4/ip_forward

Puis statiquement en cas de reboot en modifiant le fichier "/etc/sysctl.conf" :
recherchez la ligne commençant par "net.ipv4.ip_forward" et remplacez la valeur "0" par la valeur "1" puis sauvegarder. La ligne ainsi modifée doit correspondre à cela :

net.ipv4.ip_forward=1

Enfin, voici le fichier iptables à utiliser pour cette connexion. Par défaut, en entrée, tout est bloqué sauf le ping :

#
# Interfaces de confiance
#
-A INPUT -i lo -j ACCEPT 
-A INPUT -i eth1 -j ACCEPT 
-A FORWARD -i eth1 -j ACCEPT 
#
# ACCEPT en connexion directe
#
-A INPUT -p icmp -j ACCEPT 
-A INPUT -p udp -m udp -m state --state RELATED,ESTABLISHED -j ACCEPT 
-A INPUT -p tcp -m tcp -m state --state RELATED,ESTABLISHED -j ACCEPT 
#
# NAT
# 
-A FORWARD -i ppp0 -m state --state RELATED,ESTABLISHED -j ACCEPT 
COMMIT
# Completed on Sat May 30 11:36:12 2009
# Generated by iptables-save v1.4.2 on Sat May 30 11:36:12 2009
*mangle
:PREROUTING ACCEPT [0:0]
:INPUT ACCEPT [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [0:00]
:POSTROUTING ACCEPT [0:0]
COMMIT
# Completed on Sat May 30 11:36:12 2009
# Generated by iptables-save v1.4.2 on Sat May 30 11:36:12 2009
*nat
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
#
# NAT
#
-A POSTROUTING -o ppp0 -j MASQUERADE 
COMMIT

Vous pouvez activer ce fichier iptables directement en le créer où vous le souhaitez puis en l'utilisant ainsi :

iptables-restore < fichier

Pour qu'il soit réappliqué au démarrage, vous pouvez intégrer la commande ci-dessus dans le fichier /etc/rc.local

C'est fini pour le net, pour activer la liaison, il suffit de faire "ifup ppp0". Au bout de quelques secondes, la connexion au net est établie et vous devez pouvoir surfer

PARTIE 3 - TV Sans LiveBox

Nous rentrons dans la partie la plus complexe du setup Linux. Afin de pouvoir disposer de l'accès TV, nous allons devoir préparer le routeur pour qu'il puisse relayer directement les requêtes du décodeur sur les bons vlan (838 et 840) tout en modifiant les trames afin qu'elles soient conformes, notamment en terme de priorité, à ce qu'attendent les équipements Orange.

Nous partons du principe que la Linux box dispose d'une troisième interface Ethernet dite "eth2" où vous allez connecter directement le décodeur télé. Première chose à faire, construire un bridge entre le vlan838, le vlan840 et l'interface ethernet "tv" en question afin que le décodeur puisse discuter directement vers ces vlan dédiés (c'est d'ailleurs précisément ce que fait la Livebox) :

Nous allons, comme toujours, rajouter dans le fichier des interfaces réseau de Debian, la config suivante :

iface video inet manual
    bridge_ports vlan838 vlan840 eth2
    bridge_stp off

Une fois cela fait, vous pouvez directement monter le bridge par un "ifup video"

Ensuite, nous allons, pour simplifier la config, dire au noyau de bypasser les différents process de filtrage (iptables/arptables) pour les bridges. Les trames seront donc directement forwardés, sans filtrage. Pour cela, il faut placer ces commandes :

echo "0" >/proc/sys/net/bridge/bridge-nf-call-arptables
echo "0" >/proc/sys/net/bridge/bridge-nf-call-ip6tables
echo "0" >/proc/sys/net/bridge/bridge-nf-call-iptables
echo "0" >/proc/sys/net/bridge/bridge-nf-filter-pppoe-tagged
echo "0" >/proc/sys/net/bridge/bridge-nf-filter-vlan-tagged

Une fois terminé, pensez à les intégrer également au script /etc/rc.local pour qu'elles résistent au reboot

Orange utilise la QoS sur les vlan 838/840 afin de prioriser certaines trames de contrôle par rapport aux flux multicast udp de streming TV. Pour pouvoir appliquer ces mêmes priorités (la Livebox fait cela aussi par défaut) nous allons utiliser un script permettant de forcer un priorité particulière en sortie (les paquets émis par le décodeur et forwardées par le bridge) :

for i in 0 1 2 3 4 5 6 7; do
    vconfig set_egress_map vlan838 $i 4 >/dev/null
    vconfig set_egress_map vlan840 $i 5 >/dev/null
done

vous noterez que les paquets sortant sur le vlan 838 sont taggués en priorité 4 alors que les paquets émis sur le vlan 840 sont taggués en priorité 5.

Enfin et pour terminer, nous allons filtrer les trames multicast envoyées par Orange depuis le vlan 840 vers le décodeur afin qu'elles ne soient pas forwardées sur le vlan 838. En effet, par défaut, dans un bridge ethernet, toute trame reçu par un des membres du bridge est directement forwardé à tous les autres membres, lorsque le destinataire (mac address) n'est pas connu. Or, par définition, les trames multicast ne sont pas destinées à une mac address particulière, donc si on laisse le comportement du bridge tel quel, les flux videos envoyés par Orange seraient remontés vers Orange par le vlan 838, pas top

Bref, pour pouvoir filtrer cela, nous allons utiliser ebtables comme suite :

ebtables -F
ebtables -t filter -A FORWARD -o vlan838 -d ff:ff:ff:ff:ff:ff/ff:ff:ff:ff:ff:ff -j ACCEPT
ebtables -t filter -A FORWARD -o vlan838 -d 01:00:00:00:00:00/01:00:00:00:00:00 -j DROP

On laisse passer les broadcasts sur le vlan 838, par contre, on bloque les trames multicast.

C'est quasi terminé !

Il reste à tester tout cela en condition réelle. Je vous conseille tout de même d'éteindre complètement votre décodeur, de le connecter à l'interface eth2 de votre Linux Box et ensuite seulement, de le mettre en route.

CONCLUSION

J'espère que ce tuto vous aidera, je suis à votre dispo pour toute précision ou correction en cas de souci.

Vous avez également la possibilité de n'utiliser qu'une et une seule interface Réseau pour votre Linux Box, mais dans ce cas, vous devez également vous munir d'un switch Ethernet manageable sachant gérer les trames tagguées 802.1q. A votre dispo également pour ce setup particulier (celui que j'utilise chez moi actuellement).

Bonne bidouille !

Cédric

Dernière modification par Origin (24-10-2009 12:36:52)