PI Routeur

Routeur Raspberry Pi 2 : WAN DHCP, LAN 10.11.11.0/24, DHCP & NAT

Objectif

• eth0 (WAN) en **client DHCP** – adresse et passerelle obtenues du réseau amont.
• eth1 (USB‑Ethernet) en **IP statique Modèle:Mono** – **passerelle** du LAN.
• **Serveur DHCP** via Modèle:Mono : plage **Modèle:Mono**, passerelle **Modèle:Mono**.
• **Routage IPv4** activé et **NAT** (masquerade) avec Modèle:Mono.

Contexte OS

Sur Raspberry Pi OS **Bookworm**, le réseau est géré par **NetworkManager** (nmcli/nmtui) plutôt que dhcpcd. Sur Debian/Raspberry, **nftables** est le framework firewall/NAT recommandé.

Prérequis

• Raspberry Pi 2 (ou équivalent) avec Raspberry Pi OS.
• Un adaptateur USB‑Ethernet pour le LAN (peut être nommé Modèle:Mono ou Modèle:Mono).
• Accès Modèle:Mono.

Identifier les interfaces

ip -o link show | awk -F': ' '/eth|enx/{print $2}'

1) Configuration réseau

1.1 Bookworm (NetworkManager)

NetworkManager stocke des « connexions » persistantes dans Modèle:Mono et se gère avec Modèle:Mono.

# WAN sur eth0 : DHCP client
sudo nmcli con add type ethernet ifname eth0 con-name wan \
  ipv4.method auto ipv6.method ignore

# LAN sur eth1 : IP statique 10.11.11.1/24 (sans route par défaut)
sudo nmcli con add type ethernet ifname eth1 con-name lan \
  ipv4.method manual ipv4.addresses 10.11.11.1/24 \
  ipv4.never-default yes ipv6.method ignore

# Activer les connexions
sudo nmcli con up wan
sudo nmcli con up lan

1.2 Anciennes versions (dhcpcd)

Si le système utilise Modèle:Mono (pré‑Bookworm), définir l’IP statique du LAN dans Modèle:Mono.

sudo nano /etc/dhcpcd.conf
# Ajouter :
interface eth1
static ip_address=10.11.11.1/24

# Redémarrer :
sudo systemctl restart dhcpcd

2) Serveur DHCP (dnsmasq)

Installer et configurer **dnsmasq** pour émettre des baux sur le LAN. Les options suivantes viennent de la Modèle:Mono officielle et du fichier d’exemple upstream.

sudo apt update
sudo apt install -y dnsmasq

# Fichier dédié au LAN
sudo tee /etc/dnsmasq.d/lan.conf >/dev/null <<'EOF'
# Écoute sur l'interface LAN uniquement
interface=eth1
bind-interfaces

# Bonnes pratiques DNS
domain-needed
bogus-priv

# Plage DHCP, masque, bail
dhcp-range=10.11.11.100,10.11.11.200,255.255.255.0,24h

# Passerelle annoncée
dhcp-option=option:router,10.11.11.1

# (Optionnel) DNS fourni aux clients :
# dhcp-option=option:dns-server,10.11.11.1
# Écouter le DNS local si besoin :
# listen-address=10.11.11.1
EOF

sudo systemctl enable --now dnsmasq

Notes

• Modèle:Mono limite l’écoute à Modèle:Mono (évite d’exposer le service côté WAN).
• Liste des options DHCP lisibles : Modèle:Mono, Modèle:Mono, etc..
• dnsmasq est recommandé pour de petits réseaux et figure dans de nombreux guides Raspberry.

3) Routage IPv4 et NAT (nftables)

3.1 Activer l'IP forwarding

Le noyau doit autoriser le passage des paquets entre interfaces.

echo 'net.ipv4.ip_forward=1' | sudo tee /etc/sysctl.d/99-ip-forward.conf
sudo sysctl -p /etc/sysctl.d/99-ip-forward.conf

3.2 Règles nftables (filtrage + NAT)

• • nftables** est le framework de firewall/NAT par défaut recommandé sous Debian ; le service charge Modèle:Mono au démarrage.

Le **masquerade** (SNAT dynamique) convient aux IP WAN changeantes.

sudo tee /etc/nftables.conf >/dev/null <<'EOF'
#!/usr/sbin/nft -f
flush ruleset

# Filtrage : autorise LAN->WAN + retours ; bloque le reste en forward
table inet filter {
  chain input   { type filter hook input   priority 0; policy accept; }
  chain output  { type filter hook output  priority 0; policy accept; }
  chain forward { type filter hook forward priority 0; policy drop;
    ct state established,related accept
    iif "eth1" oif "eth0" accept
  }
}

# NAT (masquerade sur la sortie WAN)
table ip nat {
  chain postrouting { type nat hook postrouting priority 100;
    oif "eth0" masquerade
  }
}
EOF

sudo systemctl enable --now nftables
sudo nft list ruleset

4) Tests

4.1 Interfaces

ip addr show eth0
ip addr show eth1

• Modèle:Mono doit être en **DHCP** (adresse fournie par le réseau amont).
• Modèle:Mono doit être en **Modèle:Mono**.
• (Avec NetworkManager : Modèle:Mono pour voir les connexions actives.)*

4.2 Baux DHCP (dnsmasq)

journalctl -u dnsmasq --no-pager | tail -n 50

Les clients du switch LAN doivent recevoir **Modèle:Mono** et **passerelle Modèle:Mono**.

4.3 Routage + NAT

Depuis un client du LAN :

ping 1.1.1.1
curl -s https://ifconfig.me

L’adresse publique observée doit être celle de Modèle:Mono (NAT masquerade).

5) Dépannage & conseils

• **Nom d’interface USB** : si l’USB‑Ethernet n’est pas Modèle:Mono (ex. Modèle:Mono), remplacer ce nom partout (dnsmasq, nftables, nmcli).
• **Conflits DHCP** : un **seul** serveur DHCP sur le LAN (ne pas laisser un autre routeur servir la même plage).
• **Sécurité dnsmasq** : Modèle:Mono évite d’exposer le service côté WAN.
• **Persistance firewall** : Modèle:Mono assure le chargement au boot.
• **Iptables (héritage)** : possible, mais Debian recommande **nftables**.
• **Bookworm & fallback Link‑Local (LLA)** : le fallback DHCP→LLA via NM n’est pas activé par défaut dans Bookworm ; prévu dans Trixie (Debian suivant).

6) Script d’automatisation (Bookworm)

#!/bin/bash
# Routeur Pi 2 – WAN DHCP (eth0), LAN 10.11.11.0/24 (eth1), DHCP & NAT
set -e

# 1) Réseau (NetworkManager)
sudo nmcli con add type ethernet ifname eth0 con-name wan \
  ipv4.method auto ipv6.method ignore
sudo nmcli con add type ethernet ifname eth1 con-name lan \
  ipv4.method manual ipv4.addresses 10.11.11.1/24 \
  ipv4.never-default yes ipv6.method ignore
sudo nmcli con up wan; sudo nmcli con up lan

# 2) DHCP (dnsmasq)
sudo apt update
sudo apt install -y dnsmasq
sudo tee /etc/dnsmasq.d/lan.conf >/dev/null <<'EOF'
interface=eth1
bind-interfaces
domain-needed
bogus-priv
dhcp-range=10.11.11.100,10.11.11.200,255.255.255.0,24h
dhcp-option=option:router,10.11.11.1
EOF
sudo systemctl enable --now dnsmasq

# 3) Routage IPv4
echo 'net.ipv4.ip_forward=1' | sudo tee /etc/sysctl.d/99-ip-forward.conf
sudo sysctl -p /etc/sysctl.d/99-ip-forward.conf

# 4) NAT & firewall (nftables)
sudo tee /etc/nftables.conf >/dev/null <<'EOF'
#!/usr/sbin/nft -f
flush ruleset
table inet filter {
  chain input   { type filter hook input   priority 0; policy accept; }
  chain output  { type filter hook output  priority 0; policy accept; }
  chain forward { type filter hook forward priority 0; policy drop;
    ct state established,related accept
    iif "eth1" oif "eth0" accept
  }
}
table ip nat {
  chain postrouting { type nat hook postrouting priority 100;
    oif "eth0" masquerade
  }
}
EOF
sudo systemctl enable --now nftables

Annexes

Vérifier le modèle de Raspberry Pi

cat /proc/device-tree/model