Ouverture ports sur box fibre 8x impossible ( IPv6 & IPv4 CGNAT)

[charlesli01]

Bonsoir

J'ai besoin pour une alarme d'y accéder à distance. Et pour cela les ports 80 et 443 doivent être ouverts.

Il y a trois semaines une maj a du être faite sur cette box de dernière génération, sans prévenir, il n'y a plus d'option NAT ! L'accès extérieur s'est coupé. Le service technique contacté trois fois aujourd'hui est incapable de me répondre ! On me parle d'une cellule d'expertise technique mais indisponible le we !

Merci de votre aide

[Ryry · Accepted solution]

Bonjour @charlesli01 

Tu as vraiment une box 8X fibre ?

Cela dit, peu importe la technologie en effet, lorsqu'un secteur passe en IPv6, actuellement SFR fait le choix de la technologie CGNAT pour maintenir l'IPv4 en parallèle (car rappelons qu'on est arrivé à une pénurie d'IPv4, lire ICI) . Cela a quelques conséquences :

• la même adresse IP publique IPv4 est partagée entre plusieurs clients (ce qui complique sérieusement l'accès depuis l'extérieur puisque quand de l'extérieur tu utilises ton adresse IP, tu peux aussi bien arrivé chez l'une des autres personnes partageant la même IP que toi)
• et, chez SFR, ils ont de ce fait décidé de désactiver les possibilité de NAT manuel sur les box de ces utilisateurs concernés par le CGNAT

Comme tu le verras dans cette discussion approfondie et longue (ICI) : si tu veux revenir à une IPv4 dédiée, c'est possible mais parfois difficile à faire comprendre à certains conseillers du service client et il faut alors insister et réinsister. Inversent on peut avoir la chance de tomber sur une personne compétente qui fait le retour dans la foulée, comme ici : https://la-communaute.sfr.fr/t5/wifi-connexion-filaire-et-d%C3%A9bit/sfr-box-8-redirection-de-ports/...

Cependant comme il n'est pas garanti que ça repasse pas en CGNAT à nouveau plus tard, pour ceux qui veulent héberger un serveur NAS perso et le rendre accessible de l'extérieur sur une ligne SFR, la "moins mauvaise" solution peut être d'opter pour un abonnement fibre PRO (voir https://www.sfr.fr/pro/ ) qui sont pratiquement au même tarif pour le premier prix, mais garantissent une IP fixe et dédiée : https://www.sfr.fr/pro/contenus/services/#sfrintid=pro_hp-en_savoir_plus

À+

[charlesli01]

Merci bien de cette réponse

Mais pour faire fonctionner des volets roulants et me connecter à une alarme, passer à un abonnement pro est quand même moyen ?!

J'ai lu les différents liens, je ne suis pas technicien et je suis quand même effaré qu'à l'heure où la domotique se développe nous soyons coincés avec un produit qui n'est pas (plus) compatible ! Et surtout que les techniciens qui connaissent le problème comme vous soient si rares au service technique !!

Je vais essayer d'appeler de nouveau demain. Je vais voir aussi si c'est le même pb chez les autres opérateurs.

Cordialement

[Ryry]

Hello @charlesli01 

---

Mais pour faire fonctionner des volets roulants et me connecter à une alarme, passer à un abonnement pro est quand même moyen ?!

---

Ce n'est pas exactement ce que j'ai voulu dire (je parlais de serveur perso pour cet aspect de l'abo PRO), du coup je vais détailler :

• le "seul" problème réel qui est causé par cette impossibilité d'ouvrir et rediriger manuellement des ports, c'est la possibilité qu'une application EXTERNE à ton domicile atteigne un appariel INTERNE à ton domicile qui de plus imposerait (c'est maladroit) un seul et unique port pour fonctionner

tous les autres cas sont encore possibles :

1. une application à l'intérieur de ton domicile (pour volets, etc.) : aucun problème
2. une application qui démarrer à l'intérieur de ton domicile pour communiquer avec l'extérieur (serveur de jeux, de contenus, etc.) : aucun problème
3. une application "bien écrite" qui démarre à l'extérieur de ton domicile mai qui par exemple a un serveur intermédiaire (celui de la marque, un peu comme un serveur de jeu Sony ou Nintendo) vers lequel une application à l'intérieur du domicile scrute et se met alors en relation comme au poitn 2

Bref, tu constates que techniquement, ce sont les petits équipements, limités et conçus pour un cas simple qui ne sont plus capable de s"adapter aux évolutions. Mais tous les autres services (cas 1, 2 et 3), mieux écrits, peuvent faire "autrement" que d'imposer à l'utilisateur d'ouvrir des ports fixés et en manuel : ils s'adaptent dynamiquement (on va dire "en temps réel") à la situation réseau effective et non archivée/bloquée/gravée dans le marbre.

Et pour ceux qui veulent héberger un serveur, là hélas, pas vraiment de solution (à part laisser tomber les protocoles usuels et habituels) donc oui, eux ils sont condamnés à

• négocier un retour (pas forcément définitif) sur une adresse dédiée
• ou ouvrir un abo PRO leur garantissant un abo pro (mais au fond, pour héberger un serveur, ce n'est pas si "déconnant").

---

je ne suis pas technicien et je suis quand même effaré qu'à l'heure où la domotique se développe nous soyons coincés avec un produit qui n'est pas (plus) compatible !

---

Je répète, et je vais le dire autrement

(moi qui suis informaticien de formation et de métier) je suis effaré de ces petits appareils connectés de partout et qui sont super mal écrits et vraiment conçus de manière bon marché :

• non seulement ces bidules qu'on appelle domotique et qui se rejoignent avec le mot pompeux de l"IoT ("internet of things", lire l'article ICI qui prévient que ce soit des passoires réseau) assez flatteur sont en fait le plus souvent des trous de sécurités béants sur ton réseau offrant une entrée si facile de l'extérieur vers ton réseau parce que leur partie logicielle est minimaliste et écrite avec très peu de soin
• mais de plus, toujours parce que leur logiciel est minimaliste et écrit avec peu de soin, ils ne marche que dans le cas le plus favorable, et comme dit ci-dessus ne sont pas du tout dans les cas "adaptatifs" que j'évoquais.

C'est un peu comme si tu avais une sorte de système GPS, mais donc les cartes routières oublient la majorité des routes, qui n'a aucun mise à jour au cours du temps, et qui n'est pas capable de faire un autre chemin ni de s'adapter en route à autre chose que l'itinéraire que tu avais préparé au moment du départ de A à B... tant pis s'il se passe des choses en direct ou si une route est barrée, lui il ne connait et en reste à son chemin défini et figé en dur au départ => tu dirais que c'est une bouse, aux services minimalistes et pas vraiment adapté à un vrai usage sur la complexité des réseaux routiers (quand bien même il rendrait bien service dans 75% des cas quand tu ne te trompes pas de route en chemin ou bien que l'ancienne route est toujours existante aujourd'hui).

Voilà, ces objets connectés sont des "jouets" de l'informatique et moi je suis effaré qu'ils soient autant écrits avec les pieds quant à leur qualité et sécurité de la gestion réseau.

À+

[charlesli01]

Merci de toutes ces explications.

Mais Somfy ne me semble pas à priori avoir des applications et des systèmes construits et écrits n'importe comment. Aussi je ne vois pas très bien comment m'en sortir. Lorsque j'ai changé de box pour une fibre optique, c'est eux qui ont pris la main pour configurer les ports.

Cordialement

[Ryry]

Bonjour @charlesli01 

---

Mais Somfy ne me semble pas à priori avoir des applications et des systèmes construits et écrits n'importe comment.

---

Non je ne pense pas comme toi. Si tu as lu l'article que je t'ai donné sur la question, je dirai que si bien sûr : toute l'informatique "légère" embarquée dans les appareils connectées est concernée par ces critiques de sécurité minimaliste et écrites trop légèrement (c'est une conclusion généralisée, même plutôt une alerte lancée, que tu retrouveras dans quantité d'articles sur le web à propos de la sécurité des appareils du quotidien)

=> en résumé ce qui est dit c'est que TOUTES les marques ont totalement sous-estimés (voire sacrifié) la sécurité réseau et sont concernées du moment qu'il s'agit d'appareils simples et bon marchés et pas des systèmes informatiques complets. (dis en d'autres termes : c'est moins cher qu'un système informatique, donc ce n'est pas un système informatique, il n'y a pas de miracle).

Des spécialistes en sécurité ont même montré que les voitures modernes et connectées était largement faillibles et attaquables en matières de séciruté (et ce sont pourtant des haut de gamme), alors un appareil beaucoup moins cher tout simple, voire de l'électroménager, c'est clair et net que c'est une conception simple, limitée, et concernée par les défauts cités dans l'article.

Par contre oui, quand j'ai écrit "n'importe comment" c'est évidemment une exagération. De manière plus douce je devrais reformuler "écrit de manière bon marché et avec des choix simplistes pour rester économique"... À ce titre l'écrasante majorité de ces appareils bon marché font le choix (pourtant ÉVITABLE AVEC PLUS DE COMPLEXITÉ de demander l'ouverture de port fixés et manuels par l'utilisateur et non pas, comme déjà expliqué plus haut, un système plus dynamique qui s'adapte à la situation via l'ouverture de port automatique par le transite via un serveur externe de la marque par exemple : et manifestement Somfy a fait ce choix, réducteur, sur ton matériel, qui le rend "inutilisable" sur une box qui ne permet pas la redirection de port.

Pour à nouveau faire une comparaison audacieuse avec des voitures, c'est comme si

1. tu avais un accessoire dont le branchement électrique n'était QUE au format allume-cigare en 12V (ancien et bien connu depuis des décennies de voiture)
2. et que, dans ta voiture toute récente, par lutte "anti-fumeurs" 😂 ou autre raison qui n'est pas importante ici, il n'y ait PLUS la possibilité d'un allume-cigare mais seulement des prises d'alimentation USB pour les accessoires (prise différente, voltage différent en 5V)

=> alors l'accessoire qui n'était pas polyvalent et pas compatible "aussi" en 5V se retrouve inutilisable du fait de la disparition de l'unique solution de branchement qu'il avait retenu.

Je pense qu'en résumé c'est ça ta situation actuelle :

1. Somfy a fait le choix technique exclusif de la redirection de ports manuels pour brancher ses accessoires
2. SFR est en train de supprimer cette possibilité sur ses box chez une grande quantité de clients qui passent en CGNAT
3. tu te retrouves coincé (la seule solution chez SFR étant donc comme dit dans ma première réponse : obtenir le retour en adresse IP dédiée (surnommée "fullstack") pour avoir à nouveau le menu de redirections de ports.

Les autres pistes de solution étant :

• de basculer chez un FAI qui ne pratique pas encore cette disparition de la redirection de ports
• que Somfy change et améliore ses solutions techniques
• de chaner pour un matériel différent (chez Somfy ou autres) qui est plus polyvalent en possibilité de connexion

Je suppose donc que tu vas préférer le point 3 juste au-dessus, que je t'avais déjà conseillé en conclusion de ma toute première réponse.

À+

[charlesli01]

Je comprends mieux, merci. 😀

Effectivement j'ai aussi une tondeuse robot qui est connectée en wi-fi à la box mais que je peux commander de l'extérieur en 4 ou 5G sans redirection de ports avec l'application correspondante.

Je viens d'avoir par courriel la technicienne de Somfy qui avait auparavant géré les ports avant la MAJ, je vais voir si elle trouve la solution 3 ou mieux !

Merci du temps passé à répondre à un béotien.

Cordialement