Migration fibre, accès domoticz impossible

[sebB.84]

Bonjour à tous,

Suite à un changement de freebox pour passer à la fibre, je n'arrive plus à me connecter à l'interface Domoticz.
J'ai une erreur 401 de ce type:

Request URL:
http://192.168.1.190:8080/json.htm?type ... er]&plan=0
Request Method:
GET
Status Code:
401 Unauthorized
Remote Address:
192.168.1.190:8080

Il semblerait que les ports inférieurs à 49152 ne soient plus accessibles pour la redirection de ports depuis l'interface de configuration de freebox.
J'ai lu que je devais demander une adresse IP fixe V4 full-stack pour avoir accès à l'ensemble des ports, mais cette opération est limitée car peu d'adresse sont disponibles et qui plus est, non réversible.

Pouvez-vous m'en dire plus si quelqu'un parmi vous a eu cette mésaventure?
Et qu'est-ce que vous me conseilliez de faire? Changer le port de connexion du WebServer?
Merci beaucoup.

Voila quelques infos côté PI:
Version domoticz: 2023.1
sudo netstat -antp
tcp 0 0 192.168.1.190:37628 20.23.199.179:443 TIME_WAIT -
tcp6 0 0 :::22 :::* LISTEN 571/sshd
tcp6 0 0 ::1:25 :::* LISTEN 1336/exim4
tcp6 0 0 :::443 :::* LISTEN 29672/domoticz
tcp6 0 0 :::6144 :::* LISTEN 29672/domoticz
tcp6 0 0 :::8080 :::* LISTEN 29672/domoticz
tcp6 0 0 :::80 :::* LISTEN 766/apache2
tcp6 0 0 ::1:49420 ::1:8080 TIME_WAIT -

root@raspberrypi:/home/pi/domoticz/www# wget localhost:8080
--2023-10-21 12:00:23-- http://localhost:8080/
Resolving localhost (localhost)... ::1, 127.0.0.1
Connecting to localhost (localhost)|::1|:8080... connected.
HTTP request sent, awaiting response... 200 OK

2023-10-21 11:55:11.044 Status: Domoticz V2023.1 (c)2012-2023 GizMoCuz
2023-10-21 11:55:11.046 Status: Build Hash: f9b9ac774, Date: 2023-02-14 15:06:40
2023-10-21 11:55:11.046 Status: Startup Path: /home/pi/domoticz/
2023-10-21 11:55:11.100 Sunrise: 08:09:00 SunSet: 18:38:00
2023-10-21 11:55:11.100 Day length: 10:29:00 Sun at south: 13:23:00
2023-10-21 11:55:11.100 Civil twilight start: 07:36:00 Civil twilight end: 19:10:00
2023-10-21 11:55:11.101 Nautical twilight start: 06:59:00 Nautical twilight end: 19:47:00
2023-10-21 11:55:11.101 Astronomical twilight start: 06:22:00 Astronomical twilight end: 20:24:00
2023-10-21 11:55:11.101 Status: PluginSystem: Failed dynamic library load, install the latest libpython3.x library that is available for your platform.
2023-10-21 11:55:11.112 Active notification Subsystems: email, http, pushsafer (3/13)
2023-10-21 11:55:11.114 Status: WebServer(HTTP) started on address: :: with port 8080
2023-10-21 11:55:11.127 Status: WebServer(SSL) started on address: :: with port 443
2023-10-21 11:57:47.342 Status: Login successful from 192.168.1.107 for user 'xxx'
2023-10-21 11:57:47.343 Status: [web:8080] Incoming connection from: 192.168.1.107

[Keros]

Je viens de déplacer ton sujet dans la section dédiée aux connexions via Internet.

Si tu fais une recherche full stack sur le forum, tu verras que le sujet a déjà été abordé

[fcBourgogne]

Bonjour,

Moi aussi je suis passé à la fibre cette année avec SFR.
En local je n'avais rien perdu de ma connexion pc en wifi, j'accède à ma plateforme Domoticz toujours avec 192.1.1.**:port , c'est de l'extérieur que ça s'est compliqué.
L'ipv6 devient la norme.
J'ai recherché de ma box 192.168.1.1, l'adresse IPV6 de domoticz, puis entrée dans mon smartphone.
Depuis février de cette année ça fonctionne très bien.
A+

[lost]

Pour rebondir sur le message précédent, les infos données ne montrent pas si le PI s'est vu attribuer une adresse IPv6 ou non (par le DHCPv6 de la box, le plus probablement, même si des possibilités de générer la partie basse avec la MAC ou aléatoirement existent).

Regarder le résultat de la commande "ip addr", sans le publier (au moins non caviardé!) car les IPv6 au contraire des v4 (le plus souvent) sont fixes.

Et tester de l'extérieur si cela marche. Attention, contrairement aux IPv4 (externes), il faut entrer les adresses IPv6 entre []:
https://www.uptrends.fr/support/kb/para ... de-domaine

Si https/port standard conservé, pas besoin de le spécifier au delà des crochets:
https://[IPv6]

En profiter pour tester que le http est bien bloqué, car le passage IPv4->IPv6 impose de migrer les règles NAT sur les ports en en règles FW et il peut y avoir des gags (coucou les zozos d'Orange).
http://[IPv6]:8080

Les fournisseurs ne gérant pas le loopback (coucou Orange encore... les boulets) imposent de faire ces tests de l'extérieur (en utilisant son mobile wifi coupé chez soi, par exemple).

[sebB.84]

Bonjour,

Merci pour vos retours. Effectivement une adresse ipV6 est attribuée au PI, et j'arrive à accéder à l'interface depuis l'IPV6, merci pour les conseils.

Voici le résultat de "ip addr":

inet6 2a01:e0a:XXXXXXXXX/64 scope global dynamic mngtmpaddr noprefixroute
valid_lft 86012sec preferred_lft 86012sec
inet6 fe80::XXXXXX/64 scope link
valid_lft forever preferred_lft forever

La global dynamique est disponible depuis l'extérieur, en HTTPS (depuis mon téléphone en 4G) et également en HTTP sur 8080, donc le port n'est pas bloqué, une configuration à réaliser côté box?
Merci.

[lost]

Il y a en effet sans doute un firewall à activer (en mode tout ce qui entre fermé par défaut), afin de ne laisser passer que les couples IPv6:PORT qui doivent être accessibles de dehors.

Certaines box font une conversion des règles de redirection de port NAT propres à IPv4 (plus besoin de NAT en IPv6, on ne partage plus une adresse externe globale comme en IPv4 "cachant" tout son LAN) vers des règles FW IPv6 mais sans doute pas toutes (et celles qui le font peuvent le faire mal!).

A voir sur l'interface de config de la box, quand on a su faire des règles NAT ça devrait aller.

Chez moi (Sosh/Orange), les 2 adressages restent actifs... Mais hors de chez moi (hôtel/loc de vacances...) il m'est arrivé de tomber sur des DHCPv4 en rade (probablement un nombre d'adresses max presque toujours atteints faute d'une plage d'allocation suffisante, éventuellement combinée une durée de baux dhcp trop longue) et d'avoir une IPv6 par défaut fonctionnelle sur ma machine qui permettait de sortir du réseau ou j'étais coincé en IPv4 faute d'adresse (et passerelle associée), mais bien entendu uniquement vers des destinations acceptant IPv6 (excluant tout ce qui reste IPv4 seul), dont mon Domoticz chez moi accessible avec les 2 types d'adressages.

Ce problème, quasiment inverse en fait, m'avait permis de me rendre compte que mon fournisseur de dns dynamique (no-ip, depuis quelques années que dyndns et d'autres n'offrent plus de service minimal/gratuit) ne gère hélas que l'adressage IPv4.

Le problème avait alors été de connaître... mon IPv6 perso sans être à la maison! J'avais pu utiliser mon smartphone qui avait une IPv4 via le réseau mobile pour me décoincer (j'ai un switch virtuel Domoticz associé à un script bash pour débloquer, via le FW du PI, le port ssh/22 pour 1mn le temps de se connecter + un terminal ssh sur mon mobile) et pouvoir utiliser mon laptop sur le wifi avec IPv4 HS, mais depuis pour me prémunir de ce type de pb j'ai un script time Domoticz qui m'envoie par mail mes IP si elles changent.

Code : Tout sélectionner

-- Title: script_time_IPs.lua

emailNotifyAlarm = 'TOTO@gmail.com'

-- IPv4 and IPv6 addresses report URLs
urlIPv4='https://api.ipify.org'
urlIPv6='https://api64.ipify.org'
ipUsrVar='IPv4v6'

commandArray = {}

-- To be used by checks that do not have to be handled every minute...
time = os.date("*t")

-- IP adresses change check every 6h
if ((time.min == 30) and ((time.hour % 6) == 0)) then
    local cmd='curl -m 3 --retry 1 -s '
    local handle = assert(io.popen(cmd..urlIPv4, 'r'))
    local outIP4 = assert(handle:read('*a'))
    handle = assert(io.popen(cmd..urlIPv6, 'r'))
    local outIP6 = assert(handle:read('*a'))
    handle:close()
    
    local myIPs='IPv4 = '..outIP4..' / IPv6 = '..outIP6
    print(myIPs)
    
    if (outIP4 ~= '') and (outIP6 ~= '') then 
        oldIPs = uservariables[ipUsrVar]
        -- print(oldIPs) -- Debug
    
        if (oldIPs == nil) or (oldIPs ~= myIPs) then
            commandArray[#commandArray+1]={['Variable:'..ipUsrVar] = myIPs}
    
            myIPs=myIPs..'\\n\\n<a href="https://'..outIP4..'/">IPv4 link...</a>\\n<a href="https://['..outIP6..']/">IPv6 link...</a>'
            commandArray[#commandArray+1]={['SendEmail'] = 'Raspi IPs#'..myIPs..'#'..emailNotifyAlarm}
        end
    end
end

return commandArray

A noter que pour IPv6, j'aurais pu utiliser ce que donne la commande locale ip, cette adresse étant globale... Mais comme côté IPv4 y'a besoin d'un service externe et que celui utilisé gère les deux, cela permet d'uniformiser/simplifier le script.

Il faut avoir configuré les notifs mail, MAJ la variable pour son mail (emailNotifyAlarm) et avoir au préalable ajouté une variable utilisateur de type chaine nommée "IPv4v6" de l'interface Domoticz initialisée à "nil" et si pas déjà fait installer l'utilitaire "curl" utilisé par le script.

Garder le mail et dernière MAJ IPs éventuelles dans sa boite pour le jour ou cela servira! Le check est fait toutes le 6h à HH:30mn.

Si un jour no-ip supporte IPv6 je pourrais virer cela, surtout qu'un accès direct IP au lieu de domaine impose de mettre une exception sur le certificat https let's encrypt. Bref, ce truc dépanne mais c'est pas l'idéal niveau convivialité (et WAF!).