new article

2 years ago · 9cc6973f91
3 changed files with 639 additions and 0 deletions
--- a/content/french/blog/fibre-orange-remplacer-livebox-routeur-centos-stream-8/Boitier-Fibre-Orange.jpeg
+++ b/content/french/blog/fibre-orange-remplacer-livebox-routeur-centos-stream-8/Boitier-Fibre-Orange.jpeg
--- a/content/french/blog/fibre-orange-remplacer-livebox-routeur-centos-stream-8/hp-dl20-gen9.png
+++ b/content/french/blog/fibre-orange-remplacer-livebox-routeur-centos-stream-8/hp-dl20-gen9.png
--- a/content/french/blog/fibre-orange-remplacer-livebox-routeur-centos-stream-8/index.md
+++ b/content/french/blog/fibre-orange-remplacer-livebox-routeur-centos-stream-8/index.md
@ -0,0 +1,639 @@
+---
+title: "Fibre Orange : Remplacer sa Livebox par un routeur CentOS Stream 8"
+date: '2023-12-14T00:00:00+02:00'
+#description: ""
+opensource:
+- CentOS Stream
+topics:
+- Network
+resources:
+#- src: '*.yaml'
+- src: '*.png'
+- src: '*.jpeg'
+---
+
+Je suis abonné à l'offre Fibre d'Orange depuis 2016.
+Et si je suis globalement satisfait de la qualité du réseau, je ne peux pas en dire autant de la Livebox fournie par Orange.
+Les limitations sont nombreuses pour un geek souhaitant faire de l'hébergement de services à la maison : une seule plage IPv6 en /64, pas de configuration possible des tables de routage pour avoir plusieurs sous-réseaux IPv4, etc.
+J'ai donc décidé de remplacer la Livebox par un routeur basé sur CentOS Stream 8.
+Et l'aventure ne fut pas un long fleuve tranquille !
+Cet article présente la configuration que j'ai mise en place et qui me donne aujourd'hui satisfaction.
+
+<!--more-->
+
+## Besoin
+
+En tant que geek, j'ai des besoins bien particuliers quant au routeur qui gère mon accès internet :
+
+- Segmenter mon réseau en 5 sous-réseaux : Administration, DMZ, LAN, IoT et Invité.
+- Offrir une plage d'adresse IPv4 et IPv6 à chaque sous-réseau.
+- Héberger un Homelab à la maison (avec flux sortants et **entrants**)
+- Faire tourner des VMs pour héberger mes services
+
+J'ai volontairement laissé de coté :
+
+- Le support des chaînes TV d'Orange
+- Le support de la téléphonie Orange
+
+## Matériel
+
+Pour le serveur en lui-même, j'ai choisi un HP DL20 Gen9 pour les raisons suivantes :
+
+- J'avais déjà du matériel HP dans le Lab
+- Taille plutôt compacte (format lame 1U, court)
+- Silencieux (une fois démarré, on n'entend quasiment pas les ventilateurs)
+- Extensible
+
+Je l'ai déniché pour 660 € sur eBay avec les caractéristiques suivantes :
+
+- 2 disques 3,5 pouces de 4 To chacun, sur carte RAID matérielle
+- CPU [Intel Xeon E3-1270 v6](https://www.cpubenchmark.net/cpu.php?cpu=Intel+Xeon+E3-1270+v6+%40+3.80GHz&id=3014)
+- 48 Go de DDR4 ECC
+- Carte réseau supplémentaire Intel I350 au format "FlexibleLOM", avec 4 ports RJ-45
+
+{{< attachedFigure src="hp-dl20-gen9.png" title="Serveur HP DL20 Gen9, vue de face, vue de dos." >}}
+
+Pour me raccorder au réseau fibre optique d'Orange, j'ai conservé l'ONT (*Optical Network Termination*) qui m'a été fourni avec la Livebox.
+D'un coté, je branche la jarretière optique, et de l'autre je branche le câble RJ-45 qui va jusqu'au serveur HP.
+
+{{< attachedFigure src="Boitier-Fibre-Orange.jpeg" title="Boitier Fibre Orange. Source: [Wikipedia](https://commons.wikimedia.org/wiki/File:Boitier-Fibre-Orange_-_IMG_6456.jpg)" >}}
+
+## Logiciel
+
+Au moment où j'ai commencé à installer le serveur, la dernière version publiée de [CentOS Stream](https://www.centos.org/centos-stream/) était la 8.
+Mais partez plutôt sur la dernière version disponible !
+
+L'installation de CentOS Stream s'effectue, comme la majorité des distributions Linux :
+
+- Télécharger l'[ISO de CentOS Stream](https://www.centos.org/download/)
+- [Copier l'ISO sur une clé USB](https://wiki.centos.org/HowTos(2f)InstallFromUSBkey.html)
+- Démarrer le serveur et booter sur la clé USB
+
+## Spécificités de l'offre Fibre Orange
+
+L'offre Fibre d'Orange a quelques spécificités, désormais [bien connues des geeks de lafibre.info](https://lafibre.info/remplacer-livebox/) :
+
+- [Patcher le client DHCP](https://lafibre.info/remplacer-livebox/en-cours-remplacer-sa-livebox-par-un-routeur-ubiquiti-edgemax/msg320099/#msg320099) pour envoyer les paquets avec la priorité 802.1p numéro 6.
+- Configurer l'interface réseau pour utiliser le VLAN 832.
+- [Configurer le client DHCP](https://lafibre.info/remplacer-livebox/cacking-nouveau-systeme-de-generation-de-loption-90-dhcp/) pour envoyer le login et le mot de passe Orange.
+- [Assurer la cohérence IPv4/IPv6](https://lafibre.info/remplacer-livebox/durcissement-du-controle-de-loption-9011-et-de-la-conformite-protocolaire/)
+
+Cet article couvre l'ensemble de ces points.
+
+Il est à noter qu'à partir du noyau 5.7, le filtre *"egress"* de *netfilter* devrait permettre la capture des paquets DHCPv4 et l'étiquetage de leur priorité.
+Le client DHCP patché ne serait alors plus nécessaire.
+
+> Commit e687ad60af09 ("netfilter: add netfilter ingress hook after handle_ing() under unique static key") introduced the ability to classify packets on ingress.
+>
+> Allow the same on egress.
+>
+> This hook is also useful for NAT46/NAT64, tunneling and filtering of locally generated af_packet traffic such as dhclient.
+
+Source: https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=8537f78647c072bdb1a5dbe32e1c7e5b13ff1258
+
+## Installation du client DHCP patché
+
+J'ai backporté le [patch de Zoc](https://lafibre.info/remplacer-livebox/en-cours-remplacer-sa-livebox-par-un-routeur-ubiquiti-edgemax/msg320099/#msg320099) dans les RPMs dhclient de CentOS Stream 8.
+Les sources sont dans le dépot Git [nmasse-itix/dhclient-orange](https://github.com/nmasse-itix/dhclient-orange) et les RPMs sont disponibles publiquement sur un [partage Backblaze B2](https://f003.backblazeb2.com/file/dhclient-orange/dhclient-orange.repo).
+
+Installer le client DHCP patché.
+
+```sh
+sudo curl -o /etc/yum.repos.d/dhclient-orange.repo https://f003.backblazeb2.com/file/dhclient-orange/dhclient-orange.repo
+sudo dnf remove dhcp-client
+sudo dnf install dhcp-client-orange-isp
+```
+
+Configurer NetworkManager pour qu'il utilise dhclient plutôt que son client DHCP interne.
+
+{{< highlightFile "/etc/NetworkManager/conf.d/dhclient.conf" "ini" "hl_lines=2" >}}
+[main]
+dhcp=dhclient
+{{< / highlightFile >}}
+
+Redémarrer NetworkManager.
+
+```sh
+sudo systemctl restart NetworkManager
+```
+
+## Configuration du client DHCP pour l'authentification Orange
+
+Pour configurer le client DHCP pour l'authentification Orange, il vous faudra trois choses :
+
+- L'adresse MAC de la Livebox que vous souhaitez remplacer (vous pouvez la trouver sur une étiquette sous la Livebox). Notez que dans le fichier de configuration ci-dessous, il faudra préfixer l'adresse MAC par "**01:**".
+- La chaîne de caractère à envoyer dans l'option 90. Utilisez pour cela [le calculateur mis à disposition par la communauté lafibre.info](https://jsfiddle.net/kgersen/3mnsc6wy).
+- Le nom de l'interface réseau sur laquelle vous avez connecté l'ONT Orange (**eno2** dans l'exemple ci-dessous), suffixé par **.832**.
+
+Saisir le contenu du fichier /etc/dhcp/dhclient.conf.
+
+{{< highlightFile "/etc/dhcp/dhclient.conf" "c" "hl_lines=4 7-8" >}}
+option rfc3118-authentication code 90 = string;
+option dhcp-client-identifier code 61 = string;
+
+interface "eno2.832" {
+    send vendor-class-identifier "sagem";
+    send user-class "+FSVDSL_livebox.Internet.softathome.Livebox4";
+    send dhcp-client-identifier 01:AA:BB:CC:DD:EE:FF;
+    send rfc3118-authentication 00:00:00:00:00:00:00:00:00:00:00:1a:09:00:00:05:58:01:03:41:01:0B:66:74:69:2F:64:75:6D:6D:79:3c:12:31:32:33:34:35:36:37:38:39:30:31:32:33:34:35:36:03:13:41:b9:80:f2:ea:3f:06:3b:2b:e7:08:ac:ec:9c:38:9e:ba;
+    request subnet-mask,routers,domain-name,broadcast-address,dhcp-lease-time,dhcp-renewal-time,dhcp-rebinding-time,rfc3118-authentication;
+}
+{{< / highlightFile >}}
+
+## Configuration de l'interface réseau pour utiliser le VLAN 832
+
+Configurer l'interface réseau (ici **eno2**) à l'aide de NetworkManager pour utiliser le VLAN 832.
+
+```sh
+sudo nmcli con add type ethernet con-name eno2.832 autoconnect yes ipv4.method disabled ipv6.method ignore connection.interface-name eno2
+sudo nmcli con add type vlan dev eno2 con-name eno2.832 id 832 egress "0:0,1:0,2:0,3:0,4:0,5:0,6:6,7:0" autoconnect yes ipv4.method auto ipv6.method ignore
+```
+
+À ce stade, vous devez obtenir une adresse IPv4 publique lorsque vous activez l'interface.
+
+```sh
+sudo nmcli con up eno2.832
+```
+
+La suite de l'article est très dépendante de choix que j'ai pu faire par ailleurs dans mon réseau domestique.
+Aussi, considérez la comme une indication plus qu'un tutoriel pas à pas.
+
+## Configuration nécessaire à IPv6
+
+Activer le routage des paquets IPv4 et IPv6.
+Ne pas oublier d'adapter le nom de l'interface réseau !
+
+{{< highlightFile "/etc/sysctl.d/99-fibre-orange.conf" "ini" "hl_lines=3" >}}
+net.ipv4.ip_forward=1
+net.ipv6.conf.all.forwarding=1
+net/ipv6/conf/eno2.832/accept_ra=2
+net.ipv4.conf.all.src_valid_mark=1
+{{< / highlightFile >}}
+
+Recharger les paramètres noyaux avec la commande **sysctl**.
+
+```sh
+sudo sysctl --system
+```
+
+Configurer ensuite le client DHCPv6 pour l'authentification Orange.
+Même mode opératoire que pour IPv4, il vous faudra trois choses :
+
+- L'adresse MAC de la Livebox que vous souhaitez remplacer (vous pouvez la trouver sur une étiquette sous la Livebox). Notez que dans le fichier de configuration ci-dessous, il faudra préfixer l'adresse MAC par "**00:03:00:01:**".
+- La chaîne de caractère à envoyer dans l'option 11. Utilisez pour cela [le calculateur mis à disposition par la communauté](https://jsfiddle.net/kgersen/3mnsc6wy).
+- Le nom de l'interface réseau sur laquelle vous avez connecté l'ONT Orange (**eno2** dans l'exemple ci-dessous), suffixé par **.832**.
+
+Saisir le contenu du fichier /etc/dhcp/dhclient6.conf.
+
+{{< highlightFile "/etc/dhcp/dhclient.conf" "c" "hl_lines=5 9-10" >}}
+option dhcp6.auth code 11 = string;
+option dhcp6.vendorclass code 16 = string;
+option dhcp6.userclass code 15 = string;
+
+interface "eno2.832" {
+    send dhcp6.vendorclass 00:00:04:0e:00:05:73:61:67:65:6d;
+    send dhcp6.userclass 00:2b:46:53:56:44:53:4c:5f:6c:69:76:65:62:6f:78:2e:49:6e:74:65:72:6e:65:74:2e:73:6f:66:74:61:74:68:6f:6d:65:2e:6c:69:76:65:62:6f:78:34;
+    send dhcp6.vendor-opts 00:00:05:58:00:06:00:0e:49:50:56:36:5f:52:45:51:55:45:53:54:45:44;
+    send dhcp6.client-id 00:03:00:01:AA:BB:CC:DD:EE:FF;
+    send dhcp6.auth 00:00:00:00:00:00:00:00:00:00:00:1a:09:00:00:05:58:01:03:41:01:0B:66:74:69:2F:64:75:6D:6D:79:3c:12:31:32:33:34:35:36:37:38:39:30:31:32:33:34:35:36:03:13:41:b9:80:f2:ea:3f:06:3b:2b:e7:08:ac:ec:9c:38:9e:ba;
+    also request dhcp6.name-servers, dhcp6.vendorclass, dhcp6.userclass, dhcp6.auth;
+}
+{{< / highlightFile >}}
+
+Créer le script de *dispatch* pour NetworkManager.
+Ce script sera appelé automatiquement par NetworkManager après un *up* ou un *down* de l'interface réseau et lancera le client DHCPv6 en mode *Prefix Delegation*.
+Ne pas oublier d'adapter le nom de l'interface réseau !
+
+{{< highlightFile "/etc/NetworkManager/dispatcher.d/99-orange-ipv6" "sh" "hl_lines=5" >}}
+#!/bin/bash
+
+set -Eeuo pipefail
+
+if [ "${DEVICE_IFACE:-}" != "eno2.832" ]; then
+    exit 0
+fi
+
+# Set log file for this shell and all commands executed
+exec &>>/var/log/orange-ipv6.log
+trap 'ret=$? ; if [ $ret -gt 0 ]; then echo "NM dispatcher script called with action = ${NM_DISPATCHER_ACTION:-} finished at $(date -Isecond) with code $ret"; fi' EXIT ERR
+
+case "$NM_DISPATCHER_ACTION" in
+up)
+    signal=TERM
+    while [ -f "/var/run/NetworkManager/dhclient6-$DEVICE_IFACE.pid" ] && pgrep -F "/var/run/NetworkManager/dhclient6-$DEVICE_IFACE.pid" &>/dev/null; do
+        if pkill -F /var/run/NetworkManager/dhclient6-$DEVICE_IFACE.pid --signal "$signal"; then
+            signal=KILL
+            sleep 5
+        fi
+    done
+    dhclient -P -6 -cf /etc/dhcp/dhclient6.conf -lf "/var/lib/NetworkManager/dhclient-$CONNECTION_UUID-$DEVICE_IFACE.lease" -pf "/var/run/NetworkManager/dhclient6-$DEVICE_IFACE.pid" "$DEVICE_IFACE"
+    ;;
+down)
+    if [ -f "/var/run/NetworkManager/dhclient6-$DEVICE_IFACE.pid" ]; then
+        pkill -F /var/run/NetworkManager/dhclient6-$DEVICE_IFACE.pid || true
+    fi
+    ;;
+*)
+    ;;
+esac
+
+exit 0
+{{< / highlightFile >}}
+
+Créer le répertoire **/etc/dhcp/dhclient-exit-hooks.d**.
+
+```sh
+sudo mkdir -p /etc/dhcp/dhclient-exit-hooks.d
+```
+
+Créer le script de *hook* pour dhclient.
+Il sera appelé par le client DHCPv6 après obtention d'un préfixe IPv6 et a pour tâche d'affecter les adresses IPv6 aux différentes interfaces du serveur.
+Ne pas oublier d'adapter le nom de l'interface réseau et le nom de vos interfaces réseaux internes (chez moi, elles s'appelle ivs1, ivs2, etc.) !
+
+{{< highlightFile "/etc/dhcp/dhclient-exit-hooks.d/99-orange-ipv6" "sh" "hl_lines=5 12" >}}
+#!/bin/bash
+
+set -Eeuo pipefail
+
+if [ "${interface:-}" != "eno2.832" ]; then
+    exit 0
+fi
+
+# Issue a log in case of error
+trap 'ret=$? ; if [ "$ret" -gt 0 ]; then echo "dhclient hook script called with reason = ${reason:-} finished at $(date -Isecond) with code $ret"; fi' EXIT ERR
+
+ifprefix="ivs"
+internal_ifaces="$(ifconfig -a -s | egrep -o "^($ifprefix)[0-9]+" | sort -V)"
+external_iface="$interface"
+
+temp="$(mktemp -d -t orange.XXXXXX)"
+trap 'rm -rf "$temp"' EXIT
+
+function log () {
+    if [ -n "${DEBUG:-}" ]; then
+        echo "$@"
+    fi
+    "$@"
+}
+
+function cleanup_interface () {
+    local interface="$1"
+    current_ipv6_addr="$(ip -6 -br addr show dev "$interface" scope global | awk 'NR == 1 { print $3 }')"
+    if [ -n "$current_ipv6_addr" ]; then
+        log ip addr delete "$current_ipv6_addr" dev "$interface" || true
+    fi
+}
+
+case "${reason:-}" in
+BOUND6|REBIND6)
+    # This should be set on startup. To be safe, recheck here.
+    sysctl -q net/ipv6/conf/eno2.832/accept_ra=2
+
+    if [ -n "${new_ip6_prefix:-}" ] ; then
+        ipcalc -S 64 "$new_ip6_prefix" --no-decorate > "$temp/networks"
+        for interface in $internal_ifaces $external_iface; do
+            if [ "$interface" == "$external_iface" ]; then
+                # eno2.832 gets subnet 0
+                ipv6_network="$(head -n 1 $temp/networks)"
+            else
+                if [[ "$interface" =~ ^ivs ]]; then
+                    # ivsX gets subnet X (X is guaranted to start at 1)
+                    n="${interface#ivs}"
+                else
+                    echo "Unsupported interface: $interface"
+                    continue
+                fi
+                ipv6_network="$(awk -v "net_id=$n" 'NR == net_id + 1 { print }' $temp/networks)"
+            fi
+
+            # Determine current and previous IPv6 addresses
+            new_ipv6_addr="$(echo "$ipv6_network" | sed -r 's|::/([0-9]+)|::1/\1|')"
+            old_ipv6_addr="$(ip -6 -br addr show dev "$interface" scope global | awk 'NR == 1 { print $3 }')"
+
+            # Only replace the previous IPv6 address if the new one is different
+            if [ "${new_ipv6_addr}" != "$old_ipv6_addr" ]; then
+                cleanup_interface "$interface"
+                log ip addr add "$new_ipv6_addr" dev "$interface"
+            fi
+        done
+    fi
+    ;;
+RELEASE)
+    for interface in $internal_ifaces; do
+        cleanup_interface "$interface"
+    done
+    ;;
+*)
+    ;;
+esac
+
+exit 0
+{{< / highlightFile >}}
+
+N'oubliez pas de rendre ces deux scripts exécutables.
+
+```sh
+sudo chmod 755 /etc/NetworkManager/dispatcher.d/99-orange-ipv6
+sudo chmod 755 /etc/dhcp/dhclient-exit-hooks.d/99-orange-ipv6
+```
+
+Pour que l'IPv6 fonctionne, il faut correctement étiqueter les paquets DHCPv6 en priorité 6.
+Pour cela, j'utilise **nftables**.
+Le script est très dépendant de mes choix de réseau, je vous invite donc à le prendre comme un exemple pour créer le votre ensuite.
+
+Désactiver **firewalld**.
+
+```sh
+sudo systemctl stop firewalld
+sudo systemctl disable firewalld
+sudo systemctl mask firewalld
+```
+
+Éditer le contenu du fichier **/etc/sysconfig/nftables.conf**.
+
+{{< highlightFile "/etc/sysconfig/nftables.conf" "ini" "hl_lines=" >}}
+# Uncomment the include statement here to load the default config sample
+# in /etc/nftables for nftables service.
+
+include "/etc/nftables/itix.nft"
+
+# To customize, either edit the samples in /etc/nftables, append further
+# commands to the end of this file or overwrite it after first service
+# start by calling: 'nft list ruleset >/etc/sysconfig/nftables.conf'.
+{{< / highlightFile >}}
+
+Créer le fichier **/etc/nftables/update.nft**.
+
+{{< highlightFile "/etc/nftables/update.nft" "ini" "hl_lines=" >}}
+#!/usr/sbin/nft -f
+
+flush table inet itix-fw
+delete table inet itix-fw
+flush table ip itix-nat
+delete table ip itix-nat
+
+include "/etc/nftables/itix.nft"
+{{< / highlightFile >}}
+
+Créer le fichier **/etc/nftables/itix.nft**.
+
+{{< highlightFile "/etc/nftables/itix.nft" "c" "hl_lines=42 45 57 72 74 76 86" >}}
+#!/usr/sbin/nft -f
+
+table inet itix-fw {
+    chain Public-Services {
+        # Allow Ping
+        icmp type echo-request counter accept
+
+        # Allow SSH
+        tcp dport { 22 } counter accept
+    }
+
+    chain Forward-IPv6-from-Internet {
+        # Allow IPv6 ICMP
+        ip6 nexthdr ipv6-icmp counter accept
+
+        # Enable TCP/UDP ports > 1024
+        tcp dport > 1024 counter accept
+        udp dport > 1024 counter accept
+    }
+
+    chain Orange-IPv6-Priority {
+        # DSCP is "Differenciated Service Code Point". See RFC 4594.
+        # CS6 is "Class Selector 6 (Internetwork Control)".
+        icmpv6 type { nd-neighbor-solicit, nd-router-solicit } ip6 dscp set cs6 meta priority set 0:6 counter
+        udp sport { dhcpv6-client, dhcpv6-server } ip6 dscp set cs6 meta priority set 0:6 counter
+    }
+
+    chain Input {
+        type filter hook input priority filter + 20
+        policy drop
+
+        # Accept packets related to existing connections
+        ct state invalid counter drop
+        ct state { established, related } counter accept
+
+        # Loopback
+        iifname lo counter accept
+
+        # Accept all ethernet frames on the public interface so that we can then handle the VLANs
+        iifname eno2 accept
+        # Filter packets arriving on VLAN 832
+        iifname eno2.832 counter jump Public-Services
+        
+        # Internal Interfaces
+        iifname { ivs1, ivs2, ivs3, ivs4, ivs5 } counter accept
+    }
+
+    chain Output {
+        type filter hook output priority filter + 20
+        policy accept
+
+        # Accept packets related to existing connections
+        ct state invalid counter drop
+        ct state { established, related } counter accept
+
+        # Tag all DHCPv6 packets with priority 6
+        oifname eno2.832 counter jump Orange-IPv6-Priority
+    }
+
+    chain Forward {
+        type filter hook forward priority filter + 20
+        policy drop
+        
+        # Accept packets related to existing connections
+        ct state invalid counter drop
+        ct state { established, related } counter accept
+
+        # Loopback
+        iifname lo counter accept
+
+        # From the internal network to the internet
+        iifname { ivs1, ivs2, ivs3, ivs4, ivs5 } oifname eno2.832 counter accept
+        # From the internal network to the internal network
+        iifname { ivs1, ivs2, ivs3, ivs4, ivs5 } oifname { ivs1, ivs2, ivs3, ivs4, ivs5 } counter accept
+        # From the internet to the internal network
+        iifname eno2.832 oifname { ivs1, ivs2, ivs3, ivs4, ivs5 } counter jump Forward-IPv6-from-Internet
+    }
+}
+
+table ip itix-nat {
+    chain Post-Routing {
+        type nat hook postrouting priority srcnat
+        policy accept
+
+        # Masquerade all connections to the Internet
+        iifname { ivs1, ivs2, ivs3, ivs4, ivs5 } oifname eno2.832 counter masquerade
+    }
+
+}
+{{< / highlightFile >}}
+
+Activer et démarrer le service **nftables**.
+
+```sh
+sudo systemctl enable nftables
+sudo systemctl start nftables
+```
+
+Vérifier avec la commande **sudo nft list tables** que les deux tables **itix-fw** et **itix-nat** ont bien été chargées.
+
+A ce moment là, vous pouvez essayer de faire un **nmcli con down eno2.832** puis **nmcli con up eno2.832** et vérifier que vous avez bien une adresse IPv4 publique et une adresse IPv6 globale.
+
+## Vérification périodique et cohérence IPv4/IPv6
+
+Orange applique des règles de cohérence entre les protocoles IPv4 et IPv6.
+Rien n'est documenté officiellement, mais sur le forum [lafibre.info](https://lafibre.info/remplacer-livebox/durcissement-du-controle-de-loption-9011-et-de-la-conformite-protocolaire/) quelques indications ont été données.
+
+Pour mettre en oeuvre ces règles, j'ai développé un script qui vérifie que les piles IPv4 et IPv6 sont opérationnelles et force un nouveau cycle DHCPv4 + DHCPv6 si nécessaire.
+Pour éviter tout problème, je force également un renouvellement des baux DHCP toutes les 12 heures.
+
+{{< highlightFile "/usr/local/bin/fibre-orange" "sh" "hl_lines=5" >}}
+#!/bin/bash
+
+set -Eeuo pipefail
+
+ORANGE_IFACE="eno2.832"
+
+declare -a TARGET_IPV4=("8.8.8.8" "8.8.4.4" "1.1.1.1" "1.0.0.1" "208.67.222.222" "208.67.220.220")
+declare -a TARGET_IPV6=("2001:4860:4860::8888" "2001:4860:4860::8844" "2606:4700:4700::1111" "2606:4700:4700::1001" "2620:119:53::53" "2620:119:35::35")
+
+function help () {
+    echo "Usage: $0 {help|health-check|renew}"
+}
+
+function error () {
+    echo "$1" >&2
+}
+
+function msg () {
+    echo "$1"
+}
+
+function die () {
+    error "$1" "$@"
+    exit 1
+}
+
+function ping () {
+    /bin/ping "$1" -c 4 -I "$ORANGE_IFACE" -n -q -W 10 "$2" > /dev/null 2>&1
+}
+
+function orange_healthcheck () {
+    declare ipv4_check=0
+    for ipv4 in ${TARGET_IPV4[@]}; do
+        if ping -4 "$ipv4"; then
+            ipv4_check=1
+        else
+            msg "$ipv4 is not reachable!"
+        fi
+    done
+
+    if [ "$ipv4_check" == "0" ]; then
+        error "IPv4 stack is down!"
+    fi
+
+    declare ipv6_check=0
+    for ipv6 in ${TARGET_IPV6[@]}; do
+        if ping -6 "$ipv6"; then
+            ipv6_check=1
+        else
+            msg "$ipv6 is not reachable!"
+        fi
+    done
+
+    if [ "$ipv6_check" == "0" ]; then
+        error "IPv6 stack is down!"
+    fi
+
+    if [[ "$ipv4_check" == "0" || "$ipv6_check" == "0" ]]; then
+        return 1
+    fi
+
+    return 0
+}
+
+function kill_process () {
+    declare signal=TERM
+    while :; do
+        if [ -f "/var/run/NetworkManager/$1-$ORANGE_IFACE.pid" ] && pkill -F /var/run/NetworkManager/$1-$ORANGE_IFACE.pid --signal "$signal"; then
+            msg "Killed $1 with $signal!"
+            signal=KILL
+            sleep 5
+        else
+            break
+        fi
+    done
+
+    return 0
+}
+
+function is_dhclient4_running () {
+    if [ ! -f /var/run/NetworkManager/dhclient-$ORANGE_IFACE.pid ] || ! pgrep -F /var/run/NetworkManager/dhclient-$ORANGE_IFACE.pid &>/dev/null; then
+        return 1
+    fi
+    return 0
+}
+
+function orange_renew () {
+    # Stop all dhclient instances
+    kill_process dhclient6
+    kill_process dhclient
+
+    # Sometimes the "nmcli device reapply" fails to restart the DHCP client.
+    # Monitor the dhclient process to know when it succeeded.
+    while ! is_dhclient4_running; do
+        nmcli device reapply "$ORANGE_IFACE"
+        sleep 30
+    done
+
+    return 0
+}
+
+case "${1:-}" in
+health-check)
+    if ! orange_healthcheck; then
+        error "Renewing IPv4 and IPv6 DHCP leases..."
+        nmcli connection down $ORANGE_IFACE
+        sleep 2
+        nmcli connection up $ORANGE_IFACE
+    fi
+    ;;
+renew)
+    orange_renew
+    ;;
+help)
+    help
+    ;;
+*)
+    error "Unkown action '${1:-}'!"
+    help
+    exit 1
+    ;;
+esac
+
+exit 0
+{{< / highlightFile >}}
+
+Rendre le script exécutable.
+
+```sh
+sudo chmod 755 /usr/local/bin/fibre-orange
+```
+
+Créer la crontab associée pour lancer ce script périodiquement.
+
+{{< highlightFile "/etc/cron.d/fibre-orange" "crontab" "hl_lines=" >}}
+*/5 * * * * root /usr/local/bin/fibre-orange health-check
+0 */12 * * * root /usr/local/bin/fibre-orange renew
+{{< / highlightFile >}}
+
+## Conclusion
+
+Cela fait déjà plusieurs années que le serveur est installé et avec les dernières informations glanées sur le forum **lafibre.info**, la configuration est robuste.
+Je n'ai pas tout expliqué dans l'article car la configuration que j'ai mise en place est complexe et n'apporterait pas grand chose pour le geek souhaitant remplacer sa Livebox par un routeur **CentOS Stream 8**.
+
+Par exemple, pour les sous-réseaux internes j'ai mis de l'**Open vSwitch**.
+Pour acheminer les requètes HTTP & HTTPS, j'ai mis en place **Traefik**.
+Pour héberger mes services, j'ai déployé **Kubernetes**.
+Ça, je le garde pour un prochain article !