Tuto pour installer Pi-hole et Pi-VPN sur Freebox Delta

Une fois sur cette page vous pourrez saisir votre mot de passe ou en définir un si l’on n’en avait pas encore. Maintenant que vous êtes connectés, vous allez pouvoir vous rendre dans l’espace réservé à la création et à la gestion des machines virtuelles en cliquant sur l’icône VMs.

Pour ajouter une machine virtuelle, cliquez sur le bouton « Ajouter une VM ». Vous allez pouvoir configurer votre machine virtuelle et définir le nombre de CPU et la quantité de RAM que vous souhaitez ajouter à cette machine virtuelle. Définissez ensuite le nom de votre machine virtuelle, vous pouvez par exemple l’appeler (Ubuntu LTS pour pi-hole).

Si vous possédez déjà une machine virtuelle, vous ne pourrez mettre qu’un seul processeur est la quantité de RAM restantes disponible. Dans le cas contraire, vous pouvez mettre les deux CPU et le maximum de RAM si vous ne comptez pas ajouter d’autres machines virtuelles par la suite.

Pi-Hole ne demande pas beaucoup de ressources, vous pouvez donc mettre qu’un seul CPU et la moitié de la RAM, cela sera suffisant, vous pourrez de toute façon revenir sur ses paramètres par la suite. Pour l’installation de la VM, choisissez un système d’exploitation préinstallé parmi la liste.

Choisissez maintenant dans la liste le système d’exploitation Ubuntu le plus récent avec l’extension LTS. Il est effectivement important que ce soit une version LTS.

Ensuite, il vous faudra choisir un nom d’utilisateur ainsi qu’un mot de passe même si cela est considéré comme déconseillers. Vous pouvez choisir ce que vous voulez en nom d’utilisateur et comme mot de passe, cela vous servira à vous connecter à votre machine virtuelle. Vous avez également la possibilité d’ajouter une clé SSH pour vous connecter, mais nous n’allons pas nous en occuper dans cet article.

Avant d’installer Pi-Hole, nous allons commencer par mettre à jour Ubuntu. Pour commencer, cliquez sur le bouton allumer pour lancer la machine virtuelle puis sur le bouton console. Laisser la machine virtuelle se lancer, cela peut prendre un certain temps au premier démarrage et attendez qu’il n’y ait plus aucune activité et que la machine vous demande votre login.

Saisissez maintenant votre nom d’utilisateur, cliquez sur entrée puis saisissez le mot de passe que vous avez défini auparavant. Si tout se passe bien, vous devriez être connecté à votre machine virtuelle. À partir de maintenant, nous allons pouvoir commencer à entrer des instructions pour installer ce que l’on souhaite sur Ubuntu.

Nous allons donc maintenant pouvoir mettre à jour notre système en utilisant les commandes suivantes : 

1. sudo apt update && sudo apt upgrade -y

Cette commande va permettre de mettre à jour le système, il est également possible qu’il vous redemande votre mot de passe pour la mise à jour. Dès qu’il n’y a plus aucune activité sur l’écran, vous pouvez entrer cette commande :

1. sudo apt dist-upgrade -y

Laisser faire votre machine virtuelle, dès qu’il n’y a plus aucune activité vous pouvez entrer la commande (sudo shutdown) ou bien cliquez sur « arrêter » pour arrêter votre machine virtuelle.

Nous allons maintenant nous assurer qu’il y a bien une « IP fixe » attribuée à votre machine virtuelle pour que Pi-Hole fonctionne correctement. Il faut obligatoirement rediriger toutes les requêtes DNS vers lui, si l’adresse IP n’est pas fixe, Pi-Hole ne fonctionnera pas correctement. Si vous n’avez jamais touché aux paramètres de votre Freebox, il n’y a normalement rien à faire, elle assigne déjà des IP fixes aux appareils que vous connectez.

Si vous avez fait des modifications dans les paramètres de votre Freebox, c’est que vous savez probablement ce que vous faites. Dans ce cas, il vous faudra attribuer une adresse IP fixe à votre VM en cliquant sur « Configurer un bail DHCP » dans le bouton « réseau » sur la page de paramètres de votre machine virtuelle.

Vous pourrez vérifier dans « Paramètres de la Freebox > DHCP > 1er Onglet Serveur DHCP » que votre machine virtuelle a bien une adresse IP qui lui est attribuée dans « Baux Statiques. Vérifier également que “assignation fixe par machine” soit bien cochée.

Nous allons enfin pouvoir installer Pi-Hole sur notre machine virtuelle. Connectez-vous à votre machine virtuelle comme on l’a vu précédemment en allumant la machine et en utilisant votre identifiant et votre mot de passe pour vous connecter. Utiliser ensuite les commandes suivant pour Installer cURL et taper sur entrée :

1. sudo apt install curl

Pour installer Pi-Hole, il vous faudra utiliser la commande suivante et tapez sur entrée :

1. curl -sSL https://install.pi-hole.net | bash

Il est possible qu’au moment où vous lisez cet article la commande ait changé, il faudra alors vous référer à la page github officielle en cliquant ici, vous y trouverez la commande One « Step Automated Install » qui nous intéresse.

Ensuite, il vous suffit de lire les instructions » en anglais » et de passer les étapes les unes après les autres en tapant sur entrée ou sur les lettres du clavier qui vous sont demandées. Cependant, n’allez pas trop vite, car à la fin de la procédure le mot de passe pour vous connecter à l’interface de Pi-Hole sera généré automatiquement et vous sera communiqué. Noter ce mot de passe qui sera utile pour la suite.

Continuer d’appuyer sur entrée jusqu’à l’écran suivant. Quand vous serez à cette étape, il vous sera demandé de sélectionner le DNS qui vous plaît. Il n’y a pas vraiment de mauvais choix, j’ai personnellement choisi (Quad9 Filtered, DNSSEC), mais vous pouvez en choisir un autre si vous préférez.

Si vous ne savez pas ce que vous faites, vous pouvez choisir le même que moi. Ensuite, continuer de valider les étapes en tapant sur entrée en laissant les options par défaut jusqu’à arriver sur la dernière page.

Sur cette dernière page, vous trouverez un récapitulatif avec l’adresse IP pour vous connecter à l’interface de Pi-Hole, ainsi que le mot de passe dont je vous ai parlé précédemment, il vous faudra le noter et le conserver. Nous en avons terminé avec l’installation de Pi-Hole. Nous allons pouvoir commencer à le paramétrer nous connectant à son interface.

Maintenant que Pi-Hole est installé, si vous n’avez aucun problème vous allez pouvoir vous connecter à son interface pour le paramétrer et le faire fonctionner avec votre Freebox. Pour vous connecter à l’interface de Pi-Hole, vous pouvez suivre les instructions données sur la dernière fenêtre d’affichage lors de l’installation.

Si vous n’avez pas pris le temps de noter l’adresse, vous pouvez vous connecter en saisissant l’adresse IP que nous avons fixée tout à l’heure suivi de /admin/, cela devrait donner quelque chose comme ceci : http://adresse ip/admin/

Cliquez ensuite sur « Login » dans la colonne de gauche ! Vous allez maintenant pouvoir saisir le mot de passe qui a été généré par Pi-Hole, que vous avez normalement noté. Vous pouvez également cocher la case pour que Pi-Hole se souvienne du mot de passe pendant 7 jours.

Une fois connectée, vous allez vous diriger dans la colonne de gauche et cliquez sur « settings » pour configurer le DNS. Dans le menu « settings », rendez-vous dans l’onglet « DNS » cocher ces 3 cases :

1. Les deux cases correspondantes au DNS que vous avez choisi dans les colonnes IPv6. Si vous avez choisi le même que moi, vous devez cocher (Quad9 filtered, DNSSEC).
2. Plus bas, la case « Use DNSSEC » (si vous avez choisi un DNS qui supporte le DNSSEC).

N’oubliez pas de cliquer sur « Save » en bas à droite pour que les informations soient sauvegardées.

Pour terminer, nous allons devoir configurer la Freebox pour rediriger toutes les requêtes de votre réseau vers Pi-Hole pour qu’il puisse bloquer les publicités. Nous allons retourner dans les paramètres de la Freebox et cette fois-ci nous n’allons pas cliquer sur « VM », mais sur « Paramètres de la Freebox » puis sur l’icône DHCP. Ne touchez pas aux valeurs de début et de fin de la plage d’adresse IP, ce qui nous intéresse ce sont les serveurs DNS. 

Dans le serveur DNS 1, il vous faudra mettre l’adresse IPv4 de Pi-Hole (celle de votre VM) qui devrait ressembler à quelque chose comme ceci 192.168.X.XXX. Par mesure de sécurité, dans le serveur DNS 2 nous allons mettre un serveur de secours au cas où le premier cesse de fonctionner. Cela vous permettra de continuer à avoir accès à Internet en cas de problème.

Vous pouvez également mettre un troisième serveur DNS pour maximiser la sécurité. Pour le choix des serveurs DNS à utiliser, vous pouvez utiliser celui que vous voulez ou bien utiliser les mêmes que moi, c’est à vous de voir. Une fois terminé, cliquer sur « appliquer » et « OK » pour sauvegarder.

Maintenant, nous allons faire la même chose pour configurer l’IPv6. Cliquez sur « configurer IPv6 » puits sur « DNS IPv6 » dans les paramètres de votre Freebox. Nous allons maintenant utiliser l’adresse IPv6 de Pi-Hole, si vous ne vous en souvenez pas vous pouvez la retrouver en haut à gauche dans votre machine virtuelle. Pour le serveur secondaire, vous pouvez utiliser le DNS que vous souhaitez ou utiliser le même que moi.

N’oubliez pas de cocher la case pour forcer l’utilisation de serveur DNS IPv6 personnalisé si elle n’est pas déjà cocher. Cliquez sur « appliquer » et « OK » pour sauvegarder. Nous en avons terminé avec la configuration de Pi-Hole. Vous pouvez tester s’il fonctionne en naviguant sur internet, normalement les publicités doivent avoir disparu.

Vous devez également voir le nombre de publicités bloquées sur la page d’accueil de Pi-Hole. Nous allons maintenant ajouter des listes supplémentaires pour bloquer plus de publicité et rendre Pi-Hole plus efficace.

Bien que le blocage des publicités se traduise généralement par une expérience de navigation plus rapide, plus sécurisé et moins encombré, il n’est pas sans inconvénient. De plus en plus de pages refusent de fonctionner avec des bloqueurs de publicités et les liens redirigent vers un domaine de publicité ou de suivi avant de vous rediriger vers la page que vous avez demandée.

Dans ces cas, plutôt que d’améliorer votre expérience de navigation, Pi-Hole peut commencer à vous gêner. Pour les fanes de sécurité, c’est sans aucun doute une bonne chose. Pourquoi voudriez-vous suivre un lien qui va vous suivre ou visiter une page qui insiste pour vous montrer du contenu que vous n’avez pas demandé et que vous ne voulez pas ?

Cependant, pour la plupart d’entre nous, il peut y avoir des pages que nous souhaitons visité qui nécessitera une certaine personnalisation de nos listes de blocage. Nous pouvons également souhaiter personnaliser les listes de blocage pour ajouter des règles supplémentaires.

Vous pouvez par exemple ajouter des listes de blocage supplémentaires pour bloquer le contenu pour adultes ou les sites frauduleux et malveillants. En ajoutant des listes de blocage personnalisées, nous pouvons mettre à jour automatiquement des listes noires pour différents types de contenu. Cependant Pi-Hole ne peut pas bloquer toutes les publicités, en particulier YouTube et les replays de chaînes de TV.

Dans Pi-Hole, il y a un onglet pour les domaines sur liste noire, cela montre combien de domaines répertoriés il y a dans cette liste, nous devons ajouter et mettre à jour ces listes, pour ce faire nous devons aller dans Group Management > Adlist.

Dans la section Adresse, nous pouvons ajouter plus de sites Web sur liste noire. Pour ce faire, je vous partage des liens pour trouver des listes qui fonctionnent bien. C’est indiqué ci-dessous.

• https://awesomeopensource.com/project/mhhakim/pihole-blocklist

• https://filterlists.com/

• https://firebog.net/ (Une des meilleur colection de listes)

• https://nicolasforcet.com/2019/11/02/meilleures-listes-de-filtrage-dns-pour-pihole-et-autres/

• https://github.com/kboghdady/youTube_ads_4_pi-hole (Script pour ajouter le DNS des publicités YouTube à la liste noire Pi-hole, mais peut poser des problème sur YouTube)

• https://www.github.developerdan.com/hosts/

• https://github.com/EnergizedProtection/block (Système conçu pour les systèmes de type Unix pour obtenir des listes de domaines qui diffusent des publicités)

• https://blocklistproject.github.io/Lists/

• https://easylist-downloads.adblockplus.org/liste_fr%2Beasylist.txt

• https://pythonrepo.com/repo/Ewpratten-youtube_ad_blocklist (Projet ouvert pour maintenir une liste de noms de domaine qui diffusent des annonces YouTube, mais peut poser des problème sur YouTube)

Vous devez les ajouter un par un ou avec un copié coller. Après les avoir ajoutés, vous devez mettre à jour la liste avec la commande : pihole -g ou en cliquant sur online en haut de la page. Une fois cela fait, le tableau de bord mis à jour devrait ressembler à l’image ci-dessous.

Maintenant que les listes sont mises à jour, Pi-Hole devrait pouvoir bloquer plus de publicités. Si vous recevez toujours des publicités, améliorez vos résultats en ajoutant manuellement les serveurs à la liste noire dans votre installation Pi-Hole.

PiHole propose RegEx (expression régulière), qui peut créer des règles de filtrage plus complexes pour votre configuration Pi-Hole. Ceci est souvent décrit comme une fonction « avancée », mais tout utilisateur peut prendre le temps d’apprendre à écrire correctement les entrées RegEx.

N’oubliez pas que la syntaxe est extrêmement importante. Pour ajouter un filtre RegEx en Blacklist, il faut aller dans « Blacklist> RegEx » et ajouter l’expression dans « Regular Expression ». Vous pouvez trouver une liste d’expressions ici : https://discourse.pi-hole.net/t/collection-of-regex-for-blacklisting/43178

Vous trouverez également un fichier de filtre regex personnalisé à utiliser avec Pi-Hole ici : https://github.com/mmotti/pihole-regex

Une seule expression régulière peut bloquer des milliers de « mauvais » domaines et peut même s’adapter à des domaines suivant des modèles spécifiques qui n’existent peut-être même pas (encore) sur les listes de blocage standard.

De la même façon que l’on peut ajouter des Blacklists, on peut également ajouter des Whitelists à Pi-Hole. Il vous suffit d’aller dans « Whitelist » puis dans « Domain ou RegEx ». Voici de quoi agrémenter votre Whitelist : https://discourse.pi-hole.net/t/commonly-whitelisted-domains/212

Compléter votre Whitelist avec cette Collection de domaines couramment répertoriés dans ce projet github : https://github.com/anudeepND/whitelist

Ajoutez ces domaines à votre configuration Pi-Hole en exécutant un script ou manuellement, et rendez votre configuration sans problèmes ! Assurez-vous que python3 est installé sur votre machine. Vous pouvez simplement l’installer en utilisant : 

1. sudo apt install python3

Pour whitelist.txt

1. git clone https://github.com/anudeepND/whitelist.git 
2. sudo python3 whitelist/scripts/whitelist.py

Pour les sites de référence.txt

1. git clone https://github.com/anudeepND/whitelist.git
2. cd whitelist/scripts 
3. sudo ./referral.sh

Quelques informations supplémentaires pour votre Pi-Hole. Vous pouvez modifier la période à laquelle Pi-Hole met à jour vos listes en consultant cette vidéo : https://www.youtube.com/watch?v=1hwGORiqNmI. Je vous conseille également de modifier la limite de queries max de Pi-Hole si vous avez plusieurs appareils connectés sur votre réseau.

Pour ce faire, utiliser la commande suivante : sudo nano /etc/pihole/pihole-FTL.conf. Modifier ensuite la ligne : « rate_limit » en « RATE_LIMIT=0/0″ pour supprimer les limites. Utiliser les flèches pour vous déplacer et pour sauvegarder : « CTRL+O et ENTRÉE » pour fermer : « CTRL+ X ».

PiVPN est un programme qui peut être utilisé pour installer et configurer un serveur OpenVPN ou WireGuard sur votre Freebox. La configuration ne prend que quelques minutes. En utilisant PiVPN, vous pouvez naviguer sur le Web de manière plus sûre lorsque vous êtes sur des réseaux Wi-Fi publics non sécurisés. En outre, vous pouvez communiquer avec des appareils connectés à votre réseau domestique en utilisant PiVPN.

Alternativement, si vous l’installez dans votre bureau et que vous souhaitez travailler à domicile, vous pourrez utiliser tous les outils et services au bureau via le VPN. Si vous voyagez à l’étranger où certains services sont géobloqués pour cette région, vous pouvez potentiellement y accéder via votre réseau domestique en utilisant PiVPN.

Ce qui est intéressant dans notre cas c’est que les publicités seront également supprimées en plus d’avoir une connexion chiffrée. Vous pourrez donc partir à l’étranger et continuer d’avoir votre connexion à votre réseau privé en France en supprimant les publicités sur Internet et en bypassant les restrictions du pays dans lequel vous vous trouvez. Sans plus tarder, voyons comment installer PiVPN sur la Freebox.

Avant de commencer l’installation à proprement parler, nous allons devoir ouvrir des ports sur la Freebox pour faire fonctionner PiVPN. Pour ce faire, vous allez devoir retourner dans les paramètres de la Freebox, aller dans « gestion des ports » puis cliquer sur « ajouter une redirection » en bas de la fenêtre qui vient de s’ouvrir.

Dans la fenêtre de redirection, choisissez votre machine virtuelle en IP de destination et vérifiez que la case « redirection activer » soit bien cochée. Ensuite, dans « IP source » choisissez « Toutes », choisissez ensuite le protocole UDP (pour être sûr, vous pouvez faire pareil avec TCP).

Vous allez maintenant ouvrir le port de début qui est 1194. Répéter la même action cette fois-ci en utilisant le port 51820. Vous pouvez également ouvrir d’autres ports souvent utilisés, dont le port 443, le port 1123 et le port 80. N’oubliez pas de sauvegarder l’opération à chaque fois. Maintenant que les ports sont ouverts, nous allons ajouter un nom de domaine à notre Freebox.

Il est possible d’ajouter un nom de domaine personnalisé. Pour ce faire, il faudra dans un premier temps se connecter à Freebox OS. Il vous faut passer par les paramètres de la Freebox puis dans le mode avancé, aller dans « Nom de domaine ».

Dans la fenêtre qui s’ouvrira, vous aurez le choix entre « choisir un nouveau nom de domaine » ou « ajouter un domaine déjà existant ». Dans notre cas, on choisira un nouveau nom de domaine. Vous aurez juste à choisir le nom du sous-domaine et cliquer sur suivant. Si le nom choisi n’est pas disponible, un message indiquera.

Une fois le nom de sous-domaine choisi, la page suivante vous demandera si vous souhaitez un certificat TLS pour activer l’accès sécurisé (HTTPS). Acceptez et, une fois la demande faite, il suffira d’attendre que le certificat TLS soit actif, cela peut aller de quelques minutes à quelques heures.

Si vous le souhaitez, vous pouvez aussi activer l’accès à distance à votre Freebox. Pour ce faire, il suffira d’aller dans les « Paramètres de la Freebox » en mode avancé, puis dans « Gestion des accès », modifier si vous le souhaitez les ports d’accès et activer l’authentification par mot de passe. Passons maintenant à l’installation à proprement parler de Pi VPN.

Nous pouvons maintenant attaquer l’installation. Nous aurons besoin ici de curl, normalement déjà installé. L’installation se fait en ligne de commande, ouvrez le terminal sur la machine virtuelle ou sur Putty et exécutez la commande suivante :

1. curl -L https://install.pivpn.io | bash

Ensuite, une boîte de dialogue vous sera demandée et quelques questions sur la configuration du serveur VPN vous seront posées. Ici, nous choisirons les paramètres par défaut, car ils suffisent à rendre le serveur opérationnel.

Continuer de valider les étapes jusqu’à ce qu’on vous demande si vous préférez OpenVPN où WireGuard. Personnellement, j’utilise WireGuard qui est plus rapide que OpenVPN, je vous conseille de faire la même chose que moi. L’installation de WireGuard et le paramétrage sont beaucoup plus simples, que ce soit sur Windows, Mac, Linux Android, ou iOS. Continuer de valider pour terminer l’installation.

Le script va alors installer le dépôt, Wireguard et toutes les dépendances nécessaires. Puis il vous demandera un port. Laissez par défaut. Choisissez ensuite le fournisseur de DNS de votre choix. Pour ma part, j’ai choisi les DNS de Cloudflare.

Continuer de valider chaque étape en appuyant sur entrée jusqu’à l’étape où on vous demande quel serveur DNS choisir. On choisit Custom, puis l’on indique le nom de domaine que l’on a créé dans la Freebox. Cela fonctionnera aussi avec une adresse IP publique, mais celle-ci peut changer à tout moment ce qui empêchera le VPN de fonctionner. L’installeur recommande ensuite d’activer les mises à jour « unattended » pour plus de sécurité.

Une fois l’installation effectuée, retour dans l’interface d’administration de Pi-hole:

• Settings → DNS → Interface listening behavior

• Sélection Listen on all interfaces pour s’assurer que PiVPN communique bien avec Pi-hole.

Nous allons maintenant voir comment créer un profil VPN pour les appareils que vous souhaitez utiliser sur ce réseau VPN. Chaque profil VPN correspond à un appareil, il n’est pas possible de mettre deux appareils sur le même profil VPN.

Pour créer un profil, il faudra taper dans la console de la machine virtuelle ou dans PuTTY cette commande :

1. pivpn -a

Il vous sera demandé de créer un nom pour chaque profil, saisissez le nom que vous souhaitez puis valider avec la touche entrée. 

Pour répertorier tous les certificats valides et révoqués, tapez ce qui suit

1. pivpn list

Pour révoquer un profil VPN client, tapez ce qui suit

1. pivpn revoke

Vous pouvez récupérer votre profil en vous connectant en FTP avec le logiciel WinSCP. Pour vous connecter avec WinSCP, il vous faudra utiliser le protocole SFTP, pour le nom d’hôte utiliser l’adresse IP de la machine virtuelle, pour le nom d’utilisateur, utiliser celui que vous avez attribué à la machine virtuelle pendant la création, même chose pour le mot de passe. Ensuite, il n’y a plus qu’à aller voir dans le répertoire /home/ubuntu/configs pour retrouver sa configuration.

Si pour un smartphone, vous voulez générer un QR Code à scanner avec le client, entrez la commande :

1. pivpn -qr

Il est alors désormais possible de se connecter, depuis un client WireGuard, sur un ordinateur ou un téléphone, pour bénéficier du filtrage de Pi-Holé.

Maintenant que vous disposez d’un fichier .conf pour votre appareil, vous devez installer le logiciel client nécessaire afin d’utiliser ce fichier. Le Client WireGuard officiel est le logiciel recommandé à utiliser sur tous les appareils iOS, Android, macOS, Linux et Windows.

Cliquez ici pour visiter la page des téléchargements. Vous pouvez générer un profil pour chaque appareil que vous souhaitez utiliser, charger le fichier .conf et vous connecter à votre propre serveur VPN ! Il ne vous reste maintenant plus qu’à télécharger le client WireGuard sur les appareils que vous souhaitez connecter au réseau.

Il vous suffit d’ajouter le profil sur le client de votre appareil pour être directement connecté au réseau. Sur le client pour ordinateur, vous pouvez toutefois aller dans les options pour modifier le tunnel et décocher la case « bloquer tout le trafic hors tunnel ».

Cela vous permettra d’avoir accès aux autres appareils de votre réseau et au disque dur de votre Freebox depuis votre ordinateur. Toutefois, si vous souhaitez vous assurer que tout le trafic passe par le VPN pour des raisons de sécurité, vous pouvez à tout moment bloquer le trafic hors tunnel.