Freebox Server (Ultra V9/ Pop V8/ Delta V7 / Revolution V6 / Mini 4K)

Bonjour,

Pour parler à une Freebox Server, il faut a priori commencer par les découvrir localement puis s’y connecter en http/https.

La réponse aux requêtes de découverte encourage à utiliser le https si disponible, sur ma freebox j’obtiens le port https :

  % http http://freebox-server.local/api_version

[...]

  "api_domain": "xyz.fbxos.fr", 

[...]

  "https_available": true, 
  "https_port": 29040, 

  % dns-sd -L "Freebox Server" _fbx-api._tcp local.
  22:14:57.454  Freebox\032Server._fbx-api._tcp.local. can be reached at Freebox-Server.local.:80
  api_version=3.0 device_type=FreeboxServer1,1 api_base_url=/api/ uid=xyz https_available=1 https_port=29040 api_domain=xyz.fbxos.fr

Cependant le domaine renvoyé dans les réponses est le domaine https créé par défaut. Sur cette freebox, j’ai configuré un domaine Let’s Encrypt personnalisé (en abc.freeboxos.fr), et du coup c’est ce certificat qui m’est renvoyé sur le port 29040.

Conséquence : les requêtes https vers xyz.fbxox.fr échouent avec des clients qui vérifient le CN du certificat.

Il faudrait donc renvoyer le premier domaine perso valide dans les requêtes de découverte de l’adresse de l’API, ou bien conserver le certificat en xyz.fbxos.fr comme certificat alternatif (via SNI).

PS : peut-être la documentation sur http://dev.freebox.fr/sdk/os/ pourrait-elle refléter les variables api_domain, https_available et https_port ?

Bien à vous,
- Loïc Minier

Bonjour,

La Freebox Server semble filtrer les réponses DNS en 192.168.x.x ; par exemple :
dig a mirror.dooz.org @freebox-server.local
renvoie une réponse négative, alors qu’une requête au SOA/DNS primaire ou à Google renvoie bien 192.168.0.116
dig a panda.dooz.org @pig2.dooz.org
dig a panda.dooz.org @8.8.8.8
et qu’une requête qui renvoie une IP publique:
dig a photos.dooz.org @freebox-server.local
renvoie une réponse (88.166.229.232)

(Ces entrées DNS existent depuis longtemps, mais j’utilise le serveur DNS intégré à la v6 depuis peu.)

Pourriez-vous confirmer que ce filtrage n’est pas accidentel ? Je suppose qu’il s’agit d’une mesure de protection contre du cross-site scripting depuis des sites webs mal intentionnés.

Si oui, pourriez-vous ajouter une option pour désactiver ce filtrage dans l’interface web comme pour le filtrage SMTP ?

Je suis heureux que le routeur Freebox Server offre ce service de cache DNS et j’aimerai bien en profiter

Pour l’instant j’utilise des IPv6 en complément pour pallier le problème, mais tous les logiciels ne sont pas compatibles et parfois ces entrées créent des problèmes (par exemple absence de reverse DNS).

Merci !
–
Loïc Minier