1 files changed, 61 insertions, 0 deletions
diff --git a/content/operations/site-openwrt.md b/content/operations/site-openwrt.md
new file mode 100644
index 0000000..81a68f3
--- /dev/null
+++ b/content/operations/site-openwrt.md
@@ -0,0 +1,61 @@
+---
+title: "Configuration réseau OpenWrt"
+description: "Configuration réseau OpenWrt"
+date: 2024-05-30
+dateCreated: 2024-05-30
+weight: 20
+extra:
+  parent: 'operations/site.md'
+---
+
+# Pourquoi OpenWrt
+
+Pour installer un site géographique, il y a deux possibilités pour gérer le réseau :
+
+- utiliser la box fournie par le FAI
+- utiliser son propre routeur
+
+Certaines box de FAI sont limitées : elles ne permettent parfois pas de configurer le pare-feu IPv6, ou bien elles ont un support d'UPnP pas assez fiable pour les besoins de Deuxfleurs.
+
+Dans ce cas, utiliser son propre routeur et y installer [OpenWrt](https://openwrt.org/) est un choix naturel : c'est un projet en logiciel libre, avec une grande communauté et beaucoup de modèles matériel supportés.
+Par ailleurs, OpenWrt est très modulaire, on peut installer des paquets additionnels pour rajouter des fonctionnalités comme UPnP.
+
+Attention, installer et configurer OpenWrt demande d'être à l'aise avec SSH, vim, et d'avoir quelques connaissances en réseau.
+
+# Choisir un matériel supporté par OpenWrt
+
+Voir [le site d'OpenWrt](https://openwrt.org/supported_devices).
+
+# Installer OpenWrt
+
+Voir [la documentation OpenWrt](https://openwrt.org/docs/guide-quick-start/start) et un [guide générique](https://openwrt.org/docs/guide-user/installation/generic.flashing).
+
+# Configurer OpenWrt pour un site géographique Deuxfleurs
+
+- installer OpenWrt
+- se connecter en SSH sur le routeur
+- définir un mot de passe root avec `passwd`, le renseigner dans le [dépôt des secrets](@/operations/pass.md)
+- désactiver les IPv6 ULA : dans `/etc/config/network`, supprimer le bloc qui ressemble à ça :
+
+    config globals 'globals'
+        option ula_prefix 'fda0:8093:6a4c::/48'
+
+- définir un nom d'hôte pour le routeur, par exemple `gw-<nom du site>`. Ça se passe dans `/etc/config/system`
+- installer le serveur UPnP :
+
+    opkg update
+    opkg install miniupnpd-nftables
+
+- configurer le serveur UPnP, ça se passe dans `/etc/config/upnpd` :
+
+    TODO
+
+- autoriser le trafic IPv6 en entrée.  Attention, la configuration ci-dessous autorise absolument tout le trafic IPv6 pour toutes les machines du réseau local.  Vous pouvez être plus fin si nécessaire.
+  Dans `/etc/config/firewall`, rajouter le bloc suivant :
+
+    config forwarding
+    	option src		wan
+    	option dest		lan
+    	option family		ipv6
+
+- rebooter le routeur pour être sûr d'appliquer tous les changements