Voir la source de Le routeur en tête réseau PI

== Présentation ==
La première étape sera de créer ce qui sera la tête du réseau.

[[Fichier:Datacenter-schema-front.png|sans_cadre]]

Schématiquement on a un raspberry PI en frontal. Il n'a en aucun cas besoin de wifi donc un simple Raspbery PI2 sera suffisant.

En revanche il lui faudra deus "pattes" réseau donc un adaptateur USB - Ethernet  sera nécessaire. De plus un écran [[Écran Adafruit 2.8 pouces TFT|Adafruit 2.8']] sera utilisé pour le "status". 

=== Architecture réseau: ===

* eth0 (le port Ethernet standard) sera relié au WAN en tant que client DHCP. C'est sur le routeur auquel il est relié que le serveur DHCP attribuera (ou pas) une IP fixe. 
* eth1 (le port Ethernet sur USB) sera relié au LAN.  Il sera configuré en serveur DHCP et s'occupera du sub-net 10.11.11.0/24. Les autres raspberry seront reliés à ce port via un switch.

Derrière on aura toute sorte de serveurs basés sur des raspberry PI du genre:

* Serveur node-red
* Serveur MariaDB
* Serveur MediaWiki
* ce dont on aura besoin...

=== Modules installés ===
Sur ce serveur "front" on aura donc installé:

* Un serveur DHCP pour eth1
* Un serveur ssh sur eth0 et eth1 utilisé comme "rebond"
* Un reverse proxy pour faire suivre les demandes vers les serveurs sur le "LAN 10.11.11"
* Un broker MQTT ouvert sur eth0 et eth1
* Un driver d"écran Adafruit 2.8'

== Installation ==

=== La carte SD ===
On utilise Raspberry Pi Imager https://www.raspberrypi.com/software/

[[Fichier:Datacenter-sd-1.png|sans_cadre]]

On choisit le modèle (moi c'est un raspberry PI 2 y'a pas besoin de mieux). Puis "SUIVANT"

[[Fichier:Datacenter-sd-2.png|sans_cadre]]

On ne veut pas de "desktop" on choisit "Raspberry PI OS (other)

[[Fichier:Datacenter-sd-3.png|sans_cadre]]

On choisit la dernière version sans desktop puis "SUIVANT"

[[Fichier:Datacenter-sd-4.png|sans_cadre]]

Moi j'ai qu'un seul port SD il n'y a pas d'ambiguïté je le sélectionne puis "SUIVANT"

[[Fichier:Datacenter-sd-5.png|sans_cadre]]

On donne le nom à notre serveur puis "SUIVANT"

[[Fichier:Datacenter-sd-6.png|sans_cadre]]

On donne la localisation puis "SUIVANT"

[[Fichier:Datacenter-sd-7.png|sans_cadre]]

On définit le nom de l'utilisateur et son mot de passe puis "SUIVANT"

[[Fichier:Datacenter-sd-8.png|sans_cadre]]

On peut ignorer le wifi dans notre cas (un raspberry PI 2 n'est pas équité!) "SUIVANT"

[[Fichier:Datacenter-sd-9.png|sans_cadre]]

On s'arrête un peut sur cette page. 

On a définit un login que n'est pas "pi" mais qui peut être aisément trouvé. Notre mot de passe est sûrement très sécurisé mais toujours faillible. Comme le routeur sera probablement acessible de l'extérieur il est nécessaire, a mon avis, de sécuriser le process de login ssh par une clé. J'ai mis la clé publique du PC que j'utilise habituellement pour la maintenance. Une seconde clé pourra être ajouté ultérieurement.

"SUIVANT"

[[Fichier:Datacenter-sd-10.png|sans_cadre]]

Je ne penses pas que ce soit nécessaire d'utiliser Pi Connect, d'autant plus que le PI devra être le moins chargé possible. "SUIVANT"

[[Fichier:Datacenter-sd-11.png|sans_cadre]]

On a un dernier récapitulatif. "WRITE".

[[Fichier:Datacenter-sd-12.png|sans_cadre]]

Oui je comprends, on efface et on flashe la carte!

[[Fichier:Datacenter-sd-13.png|sans_cadre]]

Ca s'écrit... si une fenêtre proposant de formater la carte s'ouvre... fermez là.

[[Fichier:Datacenter-sd-14.png|sans_cadre]]

Apres avoir écrit la carte, on la vérifie (c'est indispensable pour être sûr de la qualité de la carte)

[[Fichier:Datacenter-sd-15.png|sans_cadre]]

C'est terminé. On peut soit en faire une seconde (un backup? mais il faudrait plutôt faire la copie après les étapes suivantes). "FINISH"

La carte est prête on peut lancer le premier boot.

On insère la carte dans le PI2 en question. On y branche un clavier et un écran (ne pas brancher l'adaptateur USB Ethernet la première fois) et GO! On blanche le courant.

=== Premier boot ===
Il boote correctement.

Moi il bloque un moment sur Network Manager mais continue (je penses que c'est eth1 sur le port USB qui n'est relié a rien qui le gène)

Il boote normalement, affiche la progression sur la console sur l'écran HDMI.

La fin est un succinct :

<code>[ OK ]  Reached target '''cloud-init.target''' - Cloud-init target.</code>

Et rien ne se passe. C'est normal, pas de panique.

La console à l'écran se limite à... la console de base pour voir les erreurs. Pour se loguer il y a deux solutions :

* Par ssh depuis une autre machine
* en allant sur une autre console de login "hardware" grâce a <ctrl> + <F2> jusqu'à <F6>. La première <ctrl> <F1> sera toujours là ou seront affichés les messages.

On va configurer les trucs de base.

==== raspi-config ====
On lance le programme "raspi-config". On a fait beaucoup du travail au moment de la préparation de la carte SD mais il en reste un peu.<syntaxhighlight lang="bash">
sudo raspi-config
</syntaxhighlight>On a le "classique"

[[Fichier:Raspi-config.png|sans_cadre]]

Dans 1 "System options" choisir  S6 "Autologin" 

[[Fichier:Raspi-config-autologin.png|sans_cadre]]

Selectionner <Yes> qui nous réponds <code>"Console autologin is enabled"</code>.

Oui si quelqu'un rentre chez nous, branche un écran et un clavier sur la machine il sera logué automatiquement... c'est un risque que je prends car, comme ces machines marchent très bien et durent des années il m'arrive d'oublier leur mot de passe.

Dans 6 "Advanced Options" on choisit A1 "Expand Filesystem"

Et le PI nous réponds :<syntaxhighlight lang="text">
Root partition has been resized.
The filesystem will be enlarged upon the next reboot
</syntaxhighlight>On valide par <OK>

Au cas ou on lance un 8 "Update" mais si on vient de faire la carte il ne doit pas se passer grand chose.

On branche l'adaptateur USB Ethernet et on reboote<syntaxhighlight lang="bash">
sudo reboot
</syntaxhighlight>on voit le shutdown se dérouler sur la console et le redémarrage.

Le boot bloque un moment sur le démarrage du network manager sur eth1 mais on peut utiliser le serveur quand même.

On peut vérifier que le "resize filesystem" est bien passé:<syntaxhighlight lang="bash">
df -h /
Filesystem      Size  Used Avail Use% Mounted on
/dev/mmcblk0p2  229G  2.6G  217G   2% /
</syntaxhighlight>J'ai utilisé une carte de 256 Go on y est presque!

=== Configuration de l'écran ===
[[Fichier:Adafruit 2.8''.png|vignette|263x263px|L'écran Adafruit 2.8 pouces]]
Adafuit le fabricant de l'écran donnait autrefois une distribution spécifique pour cet écran. C'était rapide mais pas très "propre".

Maintenant il y a un script python pour faire ce travail. Adafuit donne le process ici: https://learn.adafruit.com/adafruit-2-8-pitft-capacitive-touch/easy-install-2

Je suis bon camarade je donne ici la méthode.

==== Installation des outils ====
Il faut d'abord installer les outils python de virtualisation d'environnement.<syntaxhighlight lang="bash">
sudo apt install python3-venv
python -m venv env --system-site-packages
source env/bin/activate
</syntaxhighlight>Ensuite on installe le script qui installera lui même l'écran.<syntaxhighlight lang="bash">
cd ~
sudo apt-get update
sudo apt-get install -y git python3-pip
pip3 install --upgrade adafruit-python-shell click Flask-SQLAlchemy
git clone https://github.com/adafruit/Raspberry-Pi-Installer-Scripts.git
cd Raspberry-Pi-Installer-Scripts
</syntaxhighlight>Bon je penses que certains <code>apt-get install</code> sont superflus mais je ne prends pas de risques.

==== Installation elle même ====
Ici chez Adafruit donne une instruction pour chaque modèle d'écran.

Pour l'écran 2.8<nowiki>''</nowiki> capacitif :<syntaxhighlight lang="bash">
sudo -E env PATH=$PATH python3 adafruit-pitft.py --display=28c --rotation=90 --install-type=console
</syntaxhighlight>SI j'avais utilisé la version résistive <syntaxhighlight lang="bash">
sudo -E env PATH=$PATH python3 adafruit-pitft.py --display=28r --rotation=90 --install-type=console
</syntaxhighlight>Ca se termine<syntaxhighlight lang="text">
PITFT Updating console to PiTFT...
Remove fbcp from /etc/rc.local, if it's there...
Configuring boot/config.txt for default HDMI
Installing console fbcon map helper...
Installing console fbcon map service...
PITFT Created symlink '/etc/systemd/system/multi-user.target.wants/con2fbmap.service' → '/etc/systemd/system/con2fbmap.service'.

PITFT Job for con2fbmap.service failed because the control process exited with error code.
See "systemctl status con2fbmap.service" and "journalctl -xeu con2fbmap.service" for details.
Turning off console blanking
Setting raspi-config to boot to console w/o login...
PITFT Success!

Settings take effect on next boot.

REBOOT NOW? [Y/n] Reboot started...
Connection to 192.168.0.77 closed by remote host.
Connection to 192.168.0.77 closed.
</syntaxhighlight>En rebootant le PI.

Et l'écran est actif.

Un dernier problème: Lorsque on reboote sans l'écran HDMI... l'écran LCD ne marche pas c'est ballot

===== Fichier config.txt =====

On l'édite avec<syntaxhighlight lang="bash">
sudo vi /boot/firmware/config.txt
</syntaxhighlight>Et on y trouves <syntaxhighlight lang="ini">
# --- added by adafruit-pitft-helper  ---
[all]
hdmi_force_hotplug=0
dtparam=spi=on
dtparam=i2c1=on
dtparam=i2c_arm=on
dtoverlay=pitft28-capacitive,rotate=90,speed=64000000,fps=30,drm
# --- end adafruit-pitft-helper  ---
</syntaxhighlight>Alors qu'avec :<syntaxhighlight lang="ini">
# --- added by adafruit-pitft-helper ---
[all]
hdmi_force_hotplug=0
dtparam=spi=on
dtparam=i2c1=on
dtparam=i2c_arm=on
dtoverlay=pitft28-capacitive,rotate=270,speed=64000000,fps=30,drm
hdmi_force_hotplug=1
hdmi_group=2
hdmi_mode=82

# --- end adafruit-pitft-helper  ---
</syntaxhighlight>C'est mieux et en plus on peut gérer les 4 boutons de droite.

J'ai ai profité pour retourner l'écran (rotate=270) car avec un rotatate=90 les boutons sont a gauche.

===== Le fichier cmdline.txt =====

Toujours pour le modifier:<syntaxhighlight lang="bash">
sudo vi /boot/firmware/cmdline.txt
</syntaxhighlight>On y trouve <syntaxhighlight lang="text">
console=serial0,115200 console=tty1 root=PARTUUID=b104592a-02 rootfstype=ext4 fsck.repair=yes rootwait cfg80211.ieee80211_regdom=FR
</syntaxhighlight>On supprime la "sérial console" et on active fbcon.<syntaxhighlight lang="text">
console=tty1 fbcon=map:10 root=PARTUUID=b104592a-02 rootfstype=ext4 fsck.repair=yes rootwait cfg80211.ieee80211_regdom=FR
</syntaxhighlight>On reboote et ca marche! Même sans l'écran HDMI.

Dans tous les cas on peut acceder au frame buffer sur /dev/fb1 pour la carte écran LCD.<syntaxhighlight lang="bash">
cp /dev/random /dev/fb1
</syntaxhighlight>et on voit du bruit sur l'écran.

==== Economiseur d'écran. ====
L'écran LCD est toujours allumé dans ce cas. C'est pratique mais ca chauffe énormément, ça l'use et ca consomme. Bref ppas top.

On va faire un économiseur d'écran. On pourrait le faire en détectant un appui dessus mais la date tactile du mien est morte. On a cependant 4 bon vieux boutons physiques que je vais utiliser.

On a des boutions marqués de haut en bas <code>#17</code>, <code>#22</code>, <code>#23</code> et <code>#27</code>.

Nous nous proposons d'utiliser le bouton du bas soit <code>#27</code>.

Le script bash est assez simple:<syntaxhighlight lang="bash" line="1">
#!/bin/bash
set -euo pipefail

SCREEN_GPIO=530
BTN_GPIO=539
IDLE_TIMEOUT=20  # secondes

# Exporter les GPIO si nécessaire
for g in $SCREEN_GPIO $BTN_GPIO; do
  if [ ! -e /sys/class/gpio/gpio$g ]; then
    echo $g > /sys/class/gpio/export
  fi
done

# Configurer les directions
echo out > /sys/class/gpio/gpio$SCREEN_GPIO/direction
echo in > /sys/class/gpio/gpio$BTN_GPIO/direction

# Allumer l'écran au démarrage
echo 1 > /sys/class/gpio/gpio$SCREEN_GPIO/value

last_activity=$(date +%s)

while true; do
  btn_state=$(cat /sys/class/gpio/gpio$BTN_GPIO/value)
  if [ "$btn_state" = "0" ]; then
    echo 1 > /sys/class/gpio/gpio$SCREEN_GPIO/value
    last_activity=$(date +%s)
  fi

  now=$(date +%s)
  if (( now - last_activity >= IDLE_TIMEOUT )); then
    echo 0 > /sys/class/gpio/gpio$SCREEN_GPIO/value
    last_activity=$(( now - IDLE_TIMEOUT + 1 ))
  fi

  sleep 0.1
done

</syntaxhighlight>'''La ligne 2''' indique à bash comment gérer les erreurs 

<code>'''-e'''</code> implique qu'a la première commande en erreur (!=0) le script entier s'arrête (pas besoin de gérer les codes retour)

<code>'''-u'''</code> si on accède à une variable d'environnement non existante le script s'arrête (Lutte contre les fautes de frappe)

<code>'''-o'''</code> est plus subtile. On l'appelle "pipe fail". Si dans une commande avec des pipe <code>cmd | cmd1 | cmd2</code>  l'une des commandes plante le code d'erreur du script (le <code>$?</code>) sera celui de la commande en question et pas celui de la dernière. si <code>cmd1</code> provoque une erreur <code>$?=1</code> mais que <code>cmd2</code> passe bien <code>$?=0</code>, le script retournera la valeur du <code>$?</code> de <code>cmd1</code> si l'option <code>-o</code> est utilisée sinon c'est la dernière qui gagne.

'''Les lignes 3 et 4''' définissent les lignes GPIO utilisées. Les adresse commencent à 512 donc l'écran c'est 512+18 (GPIO18) donc 530 et le bouton c'est 512+27 soit 539.

'''La ligne 5''' c'est la durée au bout de laquelle l'écran va s'éteindre de nouveau. (20 sec ça ma paru bien pour un simple affichage de status)

'''Lignes 8 à 13''' une fonction qui exporte le GPIO si ce n'est pas déjà fait.

'''Lignes 16 et 17''' on définie les directions. écran=out bouton=in

'''Ligne 20''' on commence par allumer l'écran

'''Ligne 22''' <code>last_activity</code> reçoit le timestamp courant.

'''Lignes 24 à 38''' c'est la boucle.

* '''Lignes 25 à 29''' on allume l'écran su on détecte un appui sur le bouton et <code>ast_activity</code> reçoit le timestamp courant.
* Lignes 31 à 35 on éteint l'écran si on a dépassé le timeout <code>now - last_activity >= IDLE_TIMEOUT</code>.

Et c'est tout.

Maintenant on va faire un service ([[Deamon avec systemd|un deamon]]) de ce script. C'est décrit dans le lien mail je donne la conf spécifique:<syntaxhighlight lang="ini">
[Unit]
Description=Daemon pour économiseur d'écran GPIO
After=multi-user.target

[Service]
Type=simple
ExecStart=/usr/local/bin/gpio-screen-saver.sh
Restart=always
RestartSec=2

[Install]
WantedBy=multi-user.target

</syntaxhighlight>On donne les noms suivants aux fichiers

* gpio-screen-saver.sh est le bash vu plus haut
* gpio-screen-saver.service le fichier de conf ci-dessus

On installe avec:<syntaxhighlight lang="bash">
#!/bin/bash
set -euo pipefail

sudo cp gpio-screen-saver.sh /usr/local/bin/
sudo chmod +x /usr/local/bin/gpio-screen-saver.sh
sudo cp gpio-screen-saver.service /etc/systemd/system/

sudo systemctl daemon-reload
sudo systemctl enable --now gpio-screen-saver.service
</syntaxhighlight>SI ca marche bien il affiche juste le lien crée.

===== Arrêt relance =====
Tout ceci est bien beau mais l'écran LCD peut aussi servir de console de secours. Il suffit de branche un clavier et de taper ctrl+c et on récupère la console. Le timeout de 20 seconde va vite devenir insupportable (oui le clavier n'est pas pris en compte dedans).<syntaxhighlight lang="bash">
sudo systemctl stop gpio-screen-saver.service       # Arrète le service
sudo systemctl start gpio-screen-saver.service      # Démarre le service
sudo systemctl restart gpio-screen-saver.service    # Redémarre le service (si on change la valeur du timeout pas exemple)
</syntaxhighlight>Pour avoir le statut:<syntaxhighlight lang="bash">
sudo systemctl status gpio-screen-saver.service
</syntaxhighlight>Qui nous donne un joli:
[[Fichier:Screen-saver.service.png|sans_cadre|838x838px]]
Avec tout plein de détails.

Pour que l'arrêt soit définitif (même après un reboot):<syntaxhighlight lang="bash">
sudo systemctl disable gpio-screen-saver.service
</syntaxhighlight>Et pour le réactiver<syntaxhighlight lang="bash">
sudo systemctl enable gpio-screen-saver.service
</syntaxhighlight>

=== La configuration du réseau ===
Les Raspberry PI ne sont malheureusement équipés que d'un seul port Ethernet. Il faut en ajouter un autre sur l'un des ports USB. 

Cependant ce n'est pas catastrophique. Le port eth0 est lui aussi un device USB sauf qu'il est soudé sur la carte.

Lorsque je banche mon adaptateur réseau sur un prise USB, j'ai dans dmesg :<syntaxhighlight lang="text">
[   67.026854] usb 1-1.4: new high-speed USB device number 5 using dwc_otg
[   67.132758] usb 1-1.4: New USB device found, idVendor=0b95, idProduct=1790, bcdDevice= 2.00
[   67.132807] usb 1-1.4: New USB device strings: Mfr=1, Product=2, SerialNumber=3
[   67.132831] usb 1-1.4: Product: AX88179B
[   67.132851] usb 1-1.4: Manufacturer: ASIX
[   67.132869] usb 1-1.4: SerialNumber: 004132D3
[   67.275834] usbcore: registered new interface driver cdc_ether
[   67.323914] cdc_ncm 1-1.4:2.0: MAC-Address: 9c:69:d3:41:32:d3
[   67.323953] cdc_ncm 1-1.4:2.0: setting rx_max = 16384
[   67.324279] cdc_ncm 1-1.4:2.0: setting tx_max = 16384
[   67.325521] cdc_ncm 1-1.4:2.0 eth1: register 'cdc_ncm' at usb-3f980000.usb-1.4, CDC NCM (NO ZLP), 9c:69:d3:41:32:d3
[   67.325863] usbcore: registered new interface driver cdc_ncm
[   67.346165] usbcore: registered new interface driver cdc_wdm
[   67.352494] usbcore: registered new interface driver cdc_mbim
</syntaxhighlight>Avec ifconfig j'ai bien deux interfaces:<syntaxhighlight lang="text">
eth0: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.X.XX  netmask 255.255.255.0  broadcast 192.168.X.255
        inet6 fe80::xxxx:xxxx:xxxx:xxxx prefixlen 64  scopeid 0x20<link>
        inet6 2a01:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx:xxxx prefixlen 64  scopeid 0x0<global>
        ether b8:27:eb:1c:05:fc  txqueuelen 1000  (Ethernet)
        RX packets 340  bytes 39348 (38.4 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 266  bytes 78263 (76.4 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

eth1: flags=4099<UP,BROADCAST,MULTICAST>  mtu 1500
        ether 9c:69:d3:41:32:d3  txqueuelen 1000  (Ethernet)
        RX packets 0  bytes 0 (0.0 B)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 0  bytes 0 (0.0 B)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0
</syntaxhighlight>'''eth0''' est bien en DHCP sur mon routeur lui même connecté sur internet.

'''eth1''' est disponible. Configurons la. 

Notre objectif:

* <code>eth1</code> (USB‑Ethernet) en IP statique <code>10.11.11.1/24</code> – passerelle du LAN.
* Serveur DHCP via <code>dnsmasq</code> : plage <code>10.11.11.100–10.11.11.200</code>, passerelle <code>10.11.11.1</code>.
* Routage IPv4 activé et NAT (masquerade) avec <code>nftables</code>.

SI l'adaptateur Ethernet n'a pas été détecté en tant que eth1 il faudra changer cette valeur dans les commandes qui suivent.

On entre les commandes:<syntaxhighlight lang="bash">
sudo nmcli con add type ethernet ifname eth0 con-name wan ipv4.method auto ipv6.method ignore
sudo nmcli con add type ethernet ifname eth1 con-name lan ipv4.method manual ipv4.addresses 10.11.11.1/24 ipv4.never-default yes ipv6.method ignore
sudo nmcli con up wan
sudo nmcli con up lan
</syntaxhighlight>

==== DHCP (dnsmasq) ====
On entre les commandes<syntaxhighlight lang="bash">
sudo apt install -y dnsmasq
sudo tee /etc/dnsmasq.d/lan.conf >/dev/null <<'EOF'
listen-address=127.0.0.1,10.11.11.1
domain=pilan
local=/pilan/
interface=eth1
bind-interfaces
domain-needed
bogus-priv
dhcp-range=10.11.11.100,10.11.11.200,255.255.255.0,24h
dhcp-option=option:router,10.11.11.1
EOF
sudo systemctl enable --now dnsmasq
</syntaxhighlight>Ca y est notre serveur DHCP est fonctionnel sur un LAN qui s'appelle <code>pilan</code>. Il qui écoute sur 10.11.11.1 mais aussi localhost. non pas qu'il ait à servir des IP par DHCP à lui même mais pour servir de serveur DNS à lui aussi (on parle de DSN plus loin)

==== Routage IPv4 et NAT ====
Il faut maintenant orchestrer le routage entre eth0 et eth1.

On active le routage:<syntaxhighlight lang="bash">
echo 'net.ipv4.ip_forward=1' | sudo tee /etc/sysctl.d/99-ip-forward.conf
sudo sysctl -p /etc/sysctl.d/99-ip-forward.conf
</syntaxhighlight>On configure nftables:<syntaxhighlight lang="bash">
sudo tee /etc/nftables.conf >/dev/null <<'EOF'
flush ruleset
table inet filter {
  chain input   { type filter hook input priority 0; policy accept; }
  chain output  { type filter hook output priority 0; policy accept; }
  chain forward { type filter hook forward priority 0; policy drop;
    ct state established,related accept
    iif "eth1" oif "eth0" accept
  }
}
table ip nat {
  chain postrouting { type nat hook postrouting priority 100;
    oif "eth0" masquerade
  }
}
EOF
sudo systemctl enable --now nftables
</syntaxhighlight>On vérifie par :<syntaxhighlight lang="bash">
ip addr show eth1

3: eth1: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc fq_codel state DOWN group default qlen 1000
    link/ether 9c:69:d3:41:32:d3 brd ff:ff:ff:ff:ff:ff
    inet 10.11.11.1/24 brd 10.11.11.255 scope global noprefixroute eth1
       valid_lft forever preferred_lft forever
</syntaxhighlight>Bon il n'est relié a rien (NO-CARRIER et state DOWN) mais il a bien une adresse IP correcte.

SI je branche mon PC dessus j'ai bien :<syntaxhighlight lang="bash">
ip addr show eth1

3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 9c:69:d3:41:32:d3 brd ff:ff:ff:ff:ff:ff
    inet 10.11.11.1/24 brd 10.11.11.255 scope global noprefixroute eth1
       valid_lft forever preferred_lft forever
    inet6 fe80::9e69:d3ff:fe41:32d3/64 scope link proto kernel_ll
       valid_lft forever preferred_lft forever
</syntaxhighlight>L'état est passé à BROADCAST et state UP

==== Un petit dashboard sur la console ====
Un petit script permet d'avoir les info essentielles :<syntaxhighlight lang="bash">
#!/bin/bash
set -o pipefail

printf "\e[2J"
esc=$'\e'
while [ 1 ]
do
    printf "\e[1;1H"
    date "+%d/%m/%Y %H:%M"
    echo "-----------------------------------------------"
    echo -n "Routeur WAN IP: "
    ifconfig eth0 | grep "inet " | awk '{print $2 "  "}'
    echo -n "LAN Gateway   : "
    ifconfig eth1 | grep "inet " | awk '{print $2 "  "}'
    echo "-----------------------------------------------"
    echo "LAN Clients: "
    cat /var/lib/misc/dnsmasq.leases | awk '{print "\033[94m",$2, "\033[0m",$3,"\033[93m",$4,"\033[0m"}'
    echo "-----------------------------------------------"
    echo "Services: http"
    printf "node-red\t"
    curl --max-time 2 -I -s http://main-host.pilan:1880 | grep HTTP | sed "s/OK/${esc}[30;42m[OK]${esc}[0m 1880/"
    if [[ $? != 0 ]]; then
            printf "\033[31mERREUR\033[0m\n"
    fi
    printf "webssh  \t"
    curl --max-time 2 -I -s http://main-host.pilan:8888 | grep HTTP  | sed "s/OK/${esc}[30;42m[OK]${esc}[0m 8888/"
    if [[ $? != 0 ]]; then
            printf "\033[31mERREUR\033[0m\n"
    fi
    sleep 10
done
</syntaxhighlight>Si on le lance:

[[Fichier:Dashboard-router.png|sans_cadre|432x432px]]

Le plus élégant serait que ce script se lance sur le petit écran LCD du PI au démarrage. Facile on a configuré l'autologin...<syntaxhighlight lang="bash">
vi ~/.profile
</syntaxhighlight>Et on ajoute à la fin:<syntaxhighlight lang="bash">
if [ -n "$SSH_CONNECTION" ]; then
    echo "Welcome to SSH users"
else
    tput civis         # Hide carret
    ./router-dash.sh   
    tput cnorm         # Show carret
fi
</syntaxhighlight>Sur la console principale (l'écran LCD adafruit) il est toujours possible de sortir du dashboard avec <Ctrl> + C 

=== Serveur DNS ===

==== Configuration ====
On a déjà installé dnsmasq donc rien a installer de plus. 

Sur les clients ça marche déjà nickel (Comme on dit a Goro)

En revanche sur le routeur lui-même on utilise le DNS fournit par network manager et il utilise celui qui nous a été donné par le serveur DHCP utilisé lors de la conf de eth0.

Pas de panique c'est juste de la conf.<syntaxhighlight lang="bash">
sudo nmcli connection modify "wan" ipv4.dns "127.0.0.1 192.168.0.1"
sudo nmcli connection modify "wan" ipv4.ignore-auto-dns yes
sudo nmcli connection up "wan"

</syntaxhighlight>On redémarre dnsmasq:<syntaxhighlight lang="bash">
sudo systemctl restart dnsmasq
</syntaxhighlight>Je ne suis pas sûr que ce soit nécessaire mais bon... par acquis de conscience.

==== Tests ====
Pour tester il nous faudra des outils DNS donc :<syntaxhighlight lang="bash">
sudo apt update
sudo apt install dnsutils
</syntaxhighlight>Déja on vérifie que sur le "patte" par défaut (eth0) on accède aux deus serveurs DNS:<syntaxhighlight lang="bash">
 nmcli device show eth0 | grep IP4.DNS
</syntaxhighlight>Doit nous donner DEUX lignes:<syntaxhighlight lang="text">
IP4.DNS[1]:                             127.0.0.1
IP4.DNS[2]:                             192.168.1.1
</syntaxhighlight>Ici le DNS n°2 est celui de ma box.

On teste:<syntaxhighlight lang="bash">
dig database
dig database.pilan
</syntaxhighlight>Qui tous deux nous donnent les détail sur 10.11.11.50 (voir plus bas)

=== Reverse proxy CADDY ===

==== Installation ====
Le "repository" n'est pas standard. Donc il faut demander gentiement:<syntaxhighlight lang="bash">

# 1. Ajouter la clé GPG
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | \
sudo tee /etc/apt/trusted.gpg.d/caddy.gpg > /dev/null

# 2. Ajouter le dépôt
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | \
sudo tee /etc/apt/sources.list.d/caddy-stable.list

# 3. Installer Caddy
sudo apt update
sudo apt install caddy

</syntaxhighlight>Ensuite on teste caddy<syntaxhighlight lang="bash">
caddy version
</syntaxhighlight>Moi j'ai un truc comme:

<code>v2.10.1 h1:g/gTHGFRTY0dec+UgMw9Snxdgytr+KK2TdvoRL/Ovu6U8=</code>

On doit être en <code>v2.10.1</code> avec un n° de build bizarre en base64... (le décodage donne rien...)

==== Configuration ====
<syntaxhighlight lang="bash">
# Creation page de test
sudo mkdir -p /var/www/front
echo "<h1>Welcome to Front Router</h1>" | sudo tee /var/www/front/index.html

</syntaxhighlight>On édite le "caddy file":<syntaxhighlight lang="bash">
sudo vi /etc/caddy/Caddyfile
</syntaxhighlight>Avec <syntaxhighlight lang="apacheconf">
{
        auto_https off # Pas de HTTPS auto en LAN
}

:80 {
        root * /var/www/front
        file_server
}

secure.pinon-hebert.fr {
        root * /var/www/front
        file_server
}

main-host.pilan {
        reverse_proxy http://main-host.pilan:8080 # ce sera pour plus tard rien n'écoute ici
}

</syntaxhighlight>On valide la conf:<syntaxhighlight lang="bash">
sudo caddy fmt --overwrite /etc/caddy/Caddyfile
sudo caddy validate --config /etc/caddy/Caddyfile
</syntaxhighlight>On ne doit pas avoir d'erreur et de warnings.

Et on relance Caddy:<syntaxhighlight lang="bash">
sudo systemctl reload caddy
</syntaxhighlight>On vérifie que le port 80 soit ouvert!<syntaxhighlight lang="bash">
sudo ss -ltnp | grep :80
</syntaxhighlight>Qui doit répondre :

<code>LISTEN 0      4096                                  *:80              *:*    users:(("caddy",pid=26458,fd=7))</code>

Et un <syntaxhighlight lang="bash">
curl http://front-router
</syntaxhighlight>Réponds :<syntaxhighlight lang="html">
<h1>Welcome to Front Router</h1>
</syntaxhighlight>

=== Chiffrement avec let's encrypy ===
Caddy incorpore par défaut un lien avec let's encrypt. Il n'y a rien a faire de ce côté là!

== Administration ==
Une fois installé voici les opérations d'administrations possibles.

=== Ajouter une redirection "reverse proxy" ===
{| class="wikitable"
|+Attention
|[[Fichier:Attention.png|sans_cadre|45x45px]]
|Pour que la redirection fonctionne il faut que le process serveur sur la machine distante soit à l'écoute sur le réseau et pas seulement sur localhost!
<code>listen 0.0.0.0         OUI</code>
<code>listen 127.0.0.1       NON</code>
|}

==== Prérequis ====
Il faut avoir enregistré un DNS toto.mondomaine.com qui pointe vers une adresse IP qui, d'une manière ou une autre arrive sur le routeur de tête. 
{| class="wikitable"
|+Attention
|[[Fichier:Attention.png|sans_cadre|45x45px]]
|Il faut également que ce routeur soit ouvert sur les ports 80 et 443. 
Oui il faut laisser ouvert le port 80 avec un serveur http derrière car let's encrypt s'en sert lors du renouvellement.
|}

==== Configuration ====
<syntaxhighlight lang="yaml">
# === Site public HTTPS vers toto (Let's Encrypt automatique) ===
toto.mondomaine.com {
        # (Optionnel) Email ACME pour les notifications de certificat
        tls tecinfo@mondomaine.com

        # Logs utiles
        log {
                output file /var/log/caddy/toto.log
                format json
                level INFO
        }

        # Compression & quelques en-têtes sécurité
        encode zstd gzip
        header {
                Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
                X-Content-Type-Options "nosniff"
                X-Frame-Options "DENY"
                Referrer-Policy "strict-origin-when-cross-origin"
        }

        # Reverse proxy vers Node-RED sur IP qui héberge TOTO A.B.C.B et le port de TOTO PORT
        reverse_proxy http://A.B.C.B:PORT {
                # Caddy gère automatiquement WebSocket et X-Forwarded-*
                # Si nécessaire :
                # header_up Host {host}
        }
}

# === (Recommandé) Forcer HTTP -> HTTPS pour ce FQDN ===
http://toto.mondomaine.com {
        redir https://toto.mondomaine.com{uri}
}
</syntaxhighlight>Il faut créer le fichier de log "à la main":<syntaxhighlight lang="bash">
# Si c'est pas fait
sudo mkdir -p /var/log/caddy
sudo chown -R caddy:caddy /var/log/caddy
sudo chmod 750 /var/log/caddy
# et ensuite 
sudo mkdir /var/log/caddy/toto.log
sudo chown -R caddy:caddy /var/log/caddy/toto.log
sudo chmod 750 /var/log/caddy/toto.log

</syntaxhighlight>Ensuite on relance caddy.<syntaxhighlight lang="bash">
sudo systemctl start caddy
</syntaxhighlight>Y'a 300 000 raisons pour que ça ne marche pas du premier coup mais si on fait bien tout étape par étape ça doit marcher!

=== Gestion des connexions ssh ===
Je ne sais pas pourquoi mais mon installation du routeur en <code>Raspbian GNU/Linux 13</code> vit mal les serveurs du LAN en  <code>Debian GNU/Linux 12</code> qui datent d'il y a a peine 6 mois....

AU ssh j'ai des erreurs:<syntaxhighlight lang="text">
Unable to negotiate with 10.11.11.50 port 22: no matching key exchange method found. Their offer: diffie-hellman-group14-sha1,kex-strict-s-v00@openssh.com
</syntaxhighlight>Une sombre histoire d'algo de hashage que raspbian 13 considèrent comme à risque. Je vais passer les clients en  <code>Raspbian GNU/Linux 13</code> des que possible mais en attendent j'ai accepé des compromis sur la sécu pour les machines du lan <code>pilan</code>.

Dans mon ~/.ssh/config j'ai ajouté:<syntaxhighlight lang="apacheconf">
Host *.pilan
    User admin

    # Autoriser l'ancien échange de clés (KEX)
    KexAlgorithms +diffie-hellman-group14-sha1

    # Si les serveurs n'annoncent que des clés/ signatures SHA-1
    HostkeyAlgorithms +ssh-rsa
    PubkeyAcceptedAlgorithms +ssh-rsa

    # (Optionnel) ciphers classiques
</syntaxhighlight>Ce qui fait que pour les machines du lan et seulement avec le user admin on peut se loguer depuis le front. 

=== Gestion de l'allocation d'IP fixes en DHCP ===
Autant je sous traite l'adresse du routeur lui même sur sa "patte" eth0 au routeur qui lui est supérieur (ma box par exemple) autant, pour les machines branchées sur eth1 il peut être intéressant de leur donner une IP fixe.

On peut rendre l'IP statique sur le client mais le plus propre est de laisser le client en DHCP mais reconnaitre l'adresse MAC du client et configurer le serveur DHCP pour lui donner TOUJOURS la même IP.

<u>Par exemple je voudrais que mon serveur de base de données appelé dadabase possède l'adresse IP 10.11.11.50</u>

Je relève son adresse mac sur le dashboard:

Pour le moment on lui a donné:

<code>b8:27:ee:cc:f9:ac 10.11.11.171 database</code>

Il faut simplement éditer le fichier: <code>/etc/dnsmasq.d/lan.conf</code>
 sudo vi /etc/dnsmasq.d/lan.conf
Et ajouter/modifier la ligne :
 dhcp-host=b8:27:ee:cc:f9:ac,10.11.11.50,database
Le serveur "<code>database</code>" dont l'adresse MAC est <code>b8:27:ee:cc:f9:ac</code> se verra systématiquement affecté l'adresse <code>10.11.11.50</code>. Pour que le serveur prenne en compte le changement il faut relancer <code>dnsmasq</code>
 sudo systemctl restart dnsmasq
Et c'est tout.