Comme on ne peut pas se passer d’une connexion à Internet, nous avions mis en place une connexion de secours en ADSL dont on était plutôt content.

Jusqu’à ce que l’offre de notre FAI principal arrive à son terme. Nous avons alors converti la connexion ADSL de secours en connexion fibre principale et prévu de trouver un nouveau FAI de secours.

Sauf qu’on a pris notre temps, trop de temps… La plupart des FAI sont maintenant exclusivement en fibre (lorsqu’une zone est fibrée, ils ne proposent plus d’ADSL) et ceux qui n’y sont pas encore ont des tarifs comparables aux box 4G (et plus cher que la fibre).

Comme il s’agit après tout d’une connexion de secours, qui sert au plus 3 fois par ans et ne doit pas dépasser les 5Go au total, on s’est dit qu’il serait largement suffisant et bien plus économique d’utiliser une bête connexion mobile…

On a donc dépoussiéré la section « connexion en dernier recours » de notre Plan de Reprise d’Activité. Elle disait, de mémoire :

En cas de panne des connexions fibre et ADSL, partager la connexion d’un smartphone en Wifi et utiliser le mini-routeur TL-WR710N en mode WISP pour fournir la connexion au pare-feu.

Vieux PRA des arsouyes

La « procédure » un peu plus complète qu’on vous propose aujourd’hui est faite sur notre boitier TL-WR710N mais le principe est valable (et donc adaptable) pour n’importe quel autre routeur qui propose une fonction WISP.

Préliminaire, partage en Wifi

Point de départ, vous devez bien sûr disposer d’une connexion internet via votre téléphone (que ce soit en 3G, 4G ou 5G).

Vous devez ensuite la partager via le wifi. Comme chaque système (voir fabriquant) à ses petits menus, je considère que vous savez déjà le faire. Au cas où, voici deux liens officiels :

• La documentation pour android,
• La documentation pour IOS.

Initialisation du boîtier

Si ça fait un moment que vous ne vous en êtes pas servi, ou si vous ne vous souvenez plus de ses paramètres, ça peut être utile de réinitialiser votre boitier. Pour ça, c’est facile, il faut le brancher puis appuyer 5 secondes sur le petit bouton reset (jusqu’à ce que la LED clignote).

Le boitier va alors redémarrer avec ses paramètres d’usine et vous pourrez vous y connecter avec les paramètres par défaut.

Vous pourriez ensuite vous connecter en wifi ; le SSID et son mot de passe sont imprimés sur l’étiquette. Le truc, c’est que comme vous allez ensuite modifier les paramètres réseaux, vous risquez de perdre votre connexion. Le plus sûr est donc de vous y connecter en RJ45 sur le port LAN.

La configuration se fait via interface web dont voici les paramètres par défaut :

• Adresse : la doc vous dit de vous connecter à http://tplinkwif.net mais vous pouvez aussi utiliser son adresse IP, 192.168.0.254.
• Identifiants : admin comme nom d’utilisateur, ainsi que comme mot de passe.

Cliquez ensuite sur le bouton Quick Setup (en haut à droite) pour commencer la configuration.

Configuration du WISP

Comme le premier écran n’est qu’un accueil, cliquez sur Next, vous allez maintenant pouvoir choisir le mode opératoire du boitier.

On pourrait utiliser le mode client. Dans ce cas, le boitier étendra le réseau wifi aux équipements qui lui sont connectés (ils croiront tous être branché au réseau du smartphone). Je ne sais plus pourquoi, mais ce mode n’avait pas bien marché avec notre pfsense il y a quelques années…

En mode WISP par contre, le boitier agira comme un routeur (et fera même du NAT). Le smartphone ne verra que le boitier et vos équipements seront « cachés derrière ». Je préfère ce mode car ainsi les réseaux sont un peu mieux délimités (préférence personnelle).

Sans surprise, choisissez WISP Client Router. Et cliquez sur Next.

L’écran suivant vous demande comment configurer les paramètres IP de cette connexion internet. À moins d’avoir un téléphone dont la configuration est vraiment particulière, laissez Dynamic IP (premier choix, par défaut) et cliquez sur Next.

L’écran suivant vous demande maintenant de configurer la connexion au wifi de votre téléphone. On pourrait bien sûr entrer les paramètres à la main mais parce que je suis un éternel flémard (et pour éviter les erreurs de saisie manuelle), on va utiliser la découverte réseau.

Cliquez sur le bouton Survey.

L’écran suivant vous affiche alors les réseaux Wifi que le boîtier a entendu, repérez le votre et cliquer sur le lien connect sur sa ligne.

Pour la petite histoire… Oui, nous avons un voisin qui a une connexion sans aucune protection…

De retour à l’écran de configuration du réseau, il ne vous reste qu’à configurer le mot de passe de connexion (123456789 dans la capture mais le votre doit être configuré sur votre smartphone).

Cet écran vous propose aussi de configurer un point d’accès wifi (AP Setting) pour que vos équipements wifi puisse se connecter à votre boitier plutôt que votre smartphone.

C’est normal, le cas d’usage du WISP est lorsque vous partagez une connexion Wifi d’un hôtel (camping, restaurant, gare,…) et voulez éviter de payer pour chaque équipement que vous connecter.

Cliquez alors sur Next.

Configuration avec pfsense

À ce stade, votre boitier agit comme un routeur et fournira une connexion internet aux équipements qui y seront branchés.

Techniquement, on pourrait directement brasser la prise LAN du boitier sur notre LAN pour que les PC aient un accès internet.

Mais pour nous, ça va entrer en conflit avec les services qu’on héberge :

• L’AD et le domaine qui va avec, a besoin d’IP statiques et d’être le serveur DNS des clients (il faudrait alors que le tplink accepte qu’on lui écrase ses DNS, mais il n’a pas d’écran pour ça).
• La VOIP et notre ipbx, qui utilise aussi un nom de domaine (et son ip fixe qui va avec), de même que notre gitlab, nos reverse proxy,…
• Et comme nos pfsenses on un truc anti-pub, ça serait dommage de s’en passer.

On va donc brasser cette prise LAN vers la patte « connexion de secours » de nos pfsenses. Physiquement, on a deux ports RJ45 sur notre switch dans leur VLAN dédié. L’avantage, c’est que notre infra ne verra pas la différence.

Si vous n’avez qu’un pfsense et qu’il est configuré en DHCP sur cette interface réseau, vous n’avez rien à faire du tout.

Comme nous avons mis deux pfSense en haute disponibilité et avec une configuration IP Statique, il faut s’assurer que les paramètres IP du boîtier et des pfsense soient compatibles…

• TPLink, par défaut, utilise l’adresse réseau 192.168.0.254 avec un DHCP (de 100 à 199).
• pfSense, chez nous, utilisent les adresses 192.168.0.251 et 192.168.0.252 mais pour faire de la haute disponibilité, ils utilisent l’adresse IP virtuelle 192.168.0.254. Les pare-feu veulent un routeur à 192.168.0.1.

Plutôt que de reconfigurer l’IP commune de nos pfSense, on va simplement configurer l’IP du boitier TPLink. Pour ça, on va dans le menu Network / LAN et on change l’IP (en 192.168.0.1 pour notre cas à nous).

Et là, magie des réseau, ça tombe en marche. Le monitoring des passerelles voit que la connexion de secours est disponible et fonctionnelle…

Et après ?

Je vous l’accorde, laisser un smartphone en partage de connexion Wifi en permanence, c’est pas le truc le plus pratique. Du coup, on a maintenant une approche hybride…

En temps normal, on est en mode reprise d’activité. Les téléphones ne partagent rien et notre mini-routeur est rangé dans sa boite. Ce n’est que si on constate un problème réseau qu’on activera les partages et branchera le boitier (temps d’intervention < 5 minutes).

En période critique, on est en mode continuité d’activité. Lors d’une visioconférence ou autre activité qui ne peut pas perdre internet, on branche le mini-routeur et on partage la connexion. La bascule sera faite automatiquement.