HL-PRC-014 — Netgear R6020 — mise en service OpenWrt, SNMP et Zabbix

PROCÉDURE TECHNIQUE

Mise en service du point d’accès Netgear R6020 sous OpenWrt

Flashage d’OpenWrt, administration SSH par clé RSA via Apache Guacamole et supervision SNMP sous Zabbix.

Sommaire

Mise en service du point d’accès Netgear R6020 sous OpenWrt — HL-PRC-014

1 Objet

Cette procédure décrit la mise en service complète d’un point d’accès sans fil Netgear R6020 au sein de l’infrastructure Homelab (sous-réseau d’administration et d’équipements 10.10.70.0/24). Elle formalise la transition depuis le micrologiciel constructeur d’origine Netgear Genie vers la distribution open source OpenWrt 25.12.6, l’attribution d’un adressage IPv4 statique en mode point d’accès pur, la sécurisation de l’administration en ligne de commande via le bastion web Apache Guacamole par clé asymétrique, ainsi que l’intégration de la supervision matérielle et réseau sous Zabbix via le protocole SNMPv2c.

La difficulté principale traitée réside dans les contraintes matérielles sévères de l’équipement : le Netgear R6020 ne dispose que de 8 Mo de mémoire flash SPI NOR et de 64 Mo de mémoire vive (catégorie SMALL_FLASH). Cette restriction interdit le déploiement de paquets logiciels standards tels qu’OpenSSH Server ou Net-SNMP sous peine de saturation immédiate du stockage temporaire et persistant (erreur No space left on device). La procédure documente le recours exclusif au démon léger mini_snmpd, la génération d’une clé cryptographique dédiée au format RSA compatible avec le binaire Dropbear compilé sans module Ed25519, ainsi que l’ouverture ciblée des flux UDP 161 dans le pare-feu OpenWrt pour autoriser les requêtes de scrutation inter-VLAN émises par le serveur Zabbix.

2 Périmètre et prérequis

Périmètre

Périmètre couvert : sauvegarde préalable de l’état OEM ; téléchargement et vérification de l’image d’installation OpenWrt Factory ; flashage via l’interface graphique constructeur ; raccordement physique initial en liaison filaire ; configuration IP statique, passerelle et résolveurs DNS ; désactivation de la pile IPv6 non routée ; configuration de l’authentification SSH par clé publique sur Dropbear pour Apache Guacamole ; installation et configuration du démon mini_snmpd via le gestionnaire apk ; ajout de la règle de filtrage pare-feu autorisant le port UDP 161 ; déclaration et validation de l’hôte dans Zabbix avec le modèle générique SNMP.

Hors périmètre : installation et maintenance du serveur Zabbix ou du conteneur Apache Guacamole ; déploiement de règles de qualité de service (QoS) ou de réseaux Wi-Fi invités multiples ; supervision du commutateur d’accès Netgear GS308E v4 (documenté lors de l’intervention comme non éligible à un firmware alternatif et dépourvu de SNMP natif, nécessitant un exportateur HTTP autonome).

Prérequis

• Accès physique au matériel : disposer d’un câble Ethernet RJ45 direct relié à l’un des ports LAN du Netgear R6020.

• Fichier d’installation officiel : avoir téléchargé l’image Factory OpenWrt openwrt-25.12.6-ramips-mt76x8-netgear_r6020-squashfs-factory.img.

• Accès d’administration réseau : disposer des droits sur le routeur amont assurant la passerelle 10.10.70.254 et le routage inter-VLAN.

• Bastion Apache Guacamole opérationnel : disposer d’un compte avec droits d’administration sur l’instance 10.10.10.20.

• Plateforme Zabbix opérationnelle : disposer d’un accès administrateur à l’interface web Zabbix pour créer et lier l’hôte.

• Gestionnaire de secrets disponible : disposer d’un coffre sécurisé pour consigner le mot de passe root et la communauté SNMP.

Note Version logicielle et matérielle validée. La procédure a été exécutée et validée le 24/10/2026 sur un Netgear R6020 (SoC MediaTek MT7628A à 580 MHz, 64 Mo de RAM, 8 Mo de flash SPI) migrant du firmware OEM V1.0.0.54 vers OpenWrt 25.12.6 (architecture ramips/mt76x8). Le paquet de supervision déployé est mini_snmpd version 1.6-r5.

3 Rôles et responsabilités

La mise en service et l’exploitation de l’équipement mobilisent les rôles suivants :

Note Homelab individuel. Dans le contexte d’une infrastructure auto-hébergée personnelle, l’ensemble de ces responsabilités est assumé par le même intervenant technique.

4 Procédure de configuration

Paramètres de la procédure

Attention Substitution des paramètres. Les blocs de commandes ci-après intègrent les valeurs de référence réelles du laboratoire. Lors d’un déploiement sur une autre infrastructure, substituer rigoureusement ces adresses et identifiants avant exécution.

Étapes

1. Sauvegarde de l’état OEM et flashage vers OpenWrt

Le microprogramme constructeur Netgear Genie ne dispose d’aucun démon SNMP ni de serveur SSH d’administration. Le remplacement du firmware par OpenWrt est le prérequis indispensable pour rendre l’équipement manageable.

Connecter le poste d’administration à l’un des ports LAN du Netgear R6020 avec un câble réseau. Ouvrir le navigateur sur l’interface d’administration (http://10.10.70.2/adv_index.htm). Naviguer dans le volet gauche sous Administration puis cliquer sur Mise à jour du micrologiciel. Cliquer sur Parcourir, sélectionner l’image openwrt-25.12.6-ramips-mt76x8-netgear_r6020-squashfs-factory.img, puis cliquer sur Télécharger et confirmer l’avertissement relatif aux logiciels tiers.

Attention Alimentation électrique ininterrompue. Ne jamais débrancher l’alimentation ni déconnecter le câble réseau durant le cycle d’écriture en mémoire flash (environ 3 à 5 minutes). Une coupure entraîne un briquage définitif du circuit imprimé.

Vérification : Le routeur redémarre automatiquement. Les voyants LED clignotent puis se stabilisent. Le poste d’administration reçoit une adresse IPv4 dynamique dans la plage 192.168.1.0/24 et l’interface LuCI répond sur http://192.168.1.1.

2. Configuration réseau initiale et gestionnaire de paquets apk

Le point d’accès doit être reconfiguré avec son adresse IP statique d’origine (10.10.70.2), une passerelle fonctionnelle et des serveurs DNS valides pour permettre la sortie vers Internet. OpenWrt 25.x a remplacé l’ancien gestionnaire opkg par apk.

Se connecter en SSH au routeur (ssh root@192.168.1.1) ou via l’interface web LuCI sous Network > Interfaces > Edit LAN. Appliquer la configuration réseau statique et désactiver le routage IPv6 non configuré qui bloque les requêtes sortantes :

Attribution de l adresse IP statique, passerelle et DNS
uci set network.lan.ipaddr='10.10.70.2'
uci set network.lan.netmask='255.255.255.0'
uci set network.lan.gateway='10.10.70.254'
uci set network.lan.dns='1.1.1.1 10.10.70.254'
uci set network.lan.ipv6='0'
uci set system.@system[0].hostname='r6020'
uci commit network
uci commit system
/etc/init.d/network restart
/etc/init.d/system reload
Forcer le resolveur temporaire si nécessaire pour débloquer apk
echo "nameserver 1.1.1.1" > /tmp/resolv.conf
apk update

Vérification : Exécuter ping -c 2 downloads.openwrt.org puis apk update. La commande doit renvoyer la mise à jour des index des dépôts sans message d’erreur wget ou Operation not permitted.

3. Mise en place de l’accès SSH par clé RSA pour Apache Guacamole

L’administration centralisée s’effectue depuis le bastion Apache Guacamole (10.10.10.20). Le démon Dropbear embarqué sur le profil SMALL_FLASH du Netgear R6020 est compilé exclusivement avec le support RSA, rejetant les clés Ed25519. Une clé RSA dédiée au format PEM est donc requise.

Générer une paire de clés RSA 2048 bits sans passphrase au format PEM depuis le serveur Guacamole ou le poste d’administration :

Generation de la cle RSA compatible Guacamole et Dropbear
ssh-keygen -m PEM -t rsa -b 2048 -f ~/.ssh/guac_r6020 -C "guac-r6020"

Sur le routeur R6020, injecter la clé publique dans le fichier d’autorisation de Dropbear avec des droits stricts :

Deploiement de la cle publique sur le R6020
mkdir -p /etc/dropbear
chmod 700 /etc/dropbear
echo "ssh-rsa AAAAB3NzaC1yc2E… guac-r6020" >> /etc/dropbear/authorized_keys
chmod 600 /etc/dropbear/authorized_keys
uci set dropbear.@dropbear[0].enable='1'
uci set dropbear.@dropbear[0].Port='22'
uci commit dropbear
/etc/init.d/dropbear restart

Dans l’interface web d’Apache Guacamole, créer ou modifier la connexion SSH : renseigner l’hôte 10.10.70.2, port 22, utilisateur root, et coller l’intégralité de la clé privée PEM (avec ses en-têtes BEGIN/END RSA PRIVATE KEY) dans le champ Private key. Laisser le champ Password et Passphrase vides.

Vérification : Lancer la connexion depuis Apache Guacamole. La session SSH doit s’ouvrir immédiatement sans invite de mot de passe et afficher l’invite root@r6020:~#.

4. Installation et configuration de l’agent SNMP léger (mini_snmpd)

Pour respecter la mémoire flash limitée à 8 Mo, l’agent mini_snmpd (environ 30 Ko) est installé. Il expose les métriques essentielles de la MIB-II (uptime, état et débit des interfaces réseau) avec une empreinte mémoire négligeable.

Installation du paquet mini_snmpd via apk
apk add mini_snmpd
Configuration de la communaute et de l interface logique lan
uci set mini_snmpd.@mini_snmpd[0].enabled='1'
uci set mini_snmpd.@mini_snmpd[0].community='[SECRET — NON DOCUMENTÉ]'
uci del mini_snmpd.@mini_snmpd[0].interfaces
uci add_list mini_snmpd.@mini_snmpd[0].interfaces='lan'
uci commit mini_snmpd
Activation et démarrage du service
/etc/init.d/mini_snmpd enable
/etc/init.d/mini_snmpd restart

Note Syntaxe de liste UCI obligatoire. La directive interfaces doit être déclarée via uci add_list avec le nom logique de l’interface UCI (lan), et non sous forme d’option simple avec le nom du bridge Linux (br-lan), sous peine d’échouer lors de la validation procd.

Vérification : Exécuter netstat -lunu | grep 161. Le service doit afficher udp 0 0.0.0.0:161 0.0.0.0:* attestant l’écoute sur toutes les interfaces locales.

5. Ouverture du flux SNMP inter-VLAN dans le pare-feu OpenWrt

Le serveur Zabbix réside sur le réseau applicatif 10.10.20.0/24, tandis que le point d’accès réside sur 10.10.70.0/24. Le pare-feu OpenWrt filtre par défaut les paquets UDP entrants sur le port 161 lorsqu’ils traversent les zones réseau. Une règle explicite doit être ajoutée.

Ajout de la règle pare-feu pour autoriser le port UDP 161
uci add firewall rule
uci set firewall.@rule[-1].name='Allow-SNMP'
uci set firewall.@rule[-1].src='*'
uci set firewall.@rule[-1].proto='udp'
uci set firewall.@rule[-1].dest_port='161'
uci set firewall.@rule[-1].target='ACCEPT'
uci commit firewall
/etc/init.d/firewall restart

Vérification : Depuis la console du serveur Zabbix (root@zabbix:~#), exécuter une interrogation SNMP directe sur l’OID du nom d’hôte (sysName.0) :

snmpwalk -v 2c -c [SECRET — NON DOCUMENTÉ] 10.10.70.2 1.3.6.1.2.1.1.5.0
Sortie attendue :
# iso.3.6.1.2.1.1.5.0 = STRING: "r6020"

6. Déclaration et intégration de l’hôte dans Zabbix

L’équipement est désormais joignable en SNMP. Il convient de l’enregistrer dans Zabbix pour démarrer la collecte automatisée des métriques et le déclenchement des alertes en cas de coupure de liaison.

Dans l’interface web Zabbix, naviguer sous Configuration (ou Collecte de données) > Hôtes > Créer un hôte. Renseigner les champs comme suit :

• Nom de l’hôte : r6020 ; Nom visible : r6020.

• Groupes d’hôtes : ADM, DEVICE.

• Modèle lié (Template) : Network Generic Device by SNMP.

• Interface : Ajouter une interface SNMP avec IP 10.10.70.2, Port 161, Version SNMPv2.

• Communauté SNMP : Remplacer {$SNMP_COMMUNITY} par la chaîne secrète [SECRET — NON DOCUMENTÉ] (ou affecter la valeur dans l’onglet Macros de l’hôte).

Cliquer sur le bouton Mettre à jour. Si l’hôte était précédemment en état Non disponible (badge rouge), Zabbix respecte un délai de carence (UnreachableDelay de 3 à 5 minutes). Pour forcer la vérification immédiate, aller dans Éléments (Items) de l’hôte, sélectionner l’élément System name et cliquer sur Exécuter maintenant.

Vérification : Sur le tableau de bord Zabbix et dans la liste des hôtes, le badge SNMP passe au vert. Les données récentes affichent l’uptime, le débit entrant/sortant des interfaces réseau et le statut opérationnel de la liaison.

Retour arrière

Pièges connus

5 Intégration réseau

Identité et adressage de l’équipement

Matrice des flux réseau

Dépendances et points de défaillance

Dépendance à la passerelle inter-VLAN (10.10.70.254) : Le serveur Zabbix résidant sur un sous-réseau distinct (10.10.20.0/24), toute interruption du routage sur 10.10.70.254 coupe immédiatement la collecte SNMP et génère une alarme d’indisponibilité hôte.

Dépendance au bastion Guacamole (10.10.10.20) : L’accès d’administration SSH à distance étant restreint aux connexions par clé depuis Guacamole, une indisponibilité du conteneur guacd nécessite un raccordement physique direct sur l’un des ports LAN en console locale.

6 Durcissement et sécurité

Mesures appliquées

• Authentification SSH par clé asymétrique exclusive : L’accès console est verrouillé par clé publique RSA 2048 bits. Dès validation opérationnelle de Guacamole, l’authentification par mot de passe peut être désactivée dans /etc/config/dropbear (option PasswordAuth 'off').

• Communauté SNMP aléatoire complexe : Remplacement obligatoire de la chaîne par défaut public par une chaîne de 32 caractères alphanumériques générée aléatoirement, interdisant toute énumération non autorisée du matériel.

• Permissions de fichiers système restreintes : Le dossier /etc/dropbear est fixé avec les droits 0700 et le fichier authorized_keys avec les droits 0600 (propriétaire root:root), condition obligatoire pour que Dropbear traite les autorisations.

• Réduction de la surface d’attaque : Désactivation du protocole IPv6 non utilisé sur le segment local et absence de services tiers d’administration non chiffrés.

Dettes techniques

7 Vérifications finales

La conformité de l’installation est validée par l’exécution des contrôles mesurables suivants :

8 Références et historique des révisions

Documentation éditeur

• OpenWrt Project : Documentation matérielle Netgear R6020 (cible ramips/mt76x8) — spécifications techniques et images factory.

• OpenWrt Project : Minimal SNMP Daemon (mini_snmpd) configuration — options UCI et comportement de l’agent sous Linux.

• Apache Guacamole : Configuring Guacamole SSH connections — exigences d’authentification par clé privée et bibliothèque libssh2.

• Zabbix LLC : Network device monitoring via SNMP — paramétrage des interfaces d’hôtes et modèle Network Generic Device.

Documents associés

• HL-PRC-001 : Mise en service d’un pare-feu Juniper SRX300 (routage inter-VLAN et passerelle).

• HL-PRC-010 : Ajouter une connexion SSH par clé dans Apache Guacamole (standardisation des accès d’administration).

Historique des révisions