3. Brancher le réseau sur Warda

Tant que la box donne ses propres serveurs DNS, les appareils ne passent pas par Warda.

1. Adresse fixe. Dans l'interface de votre box, section DHCP, réservez une adresse pour le boîtier Warda (on l'appelle souvent « bail statique » ou « réservation »).
2. Essai sur un appareil. Dans les réglages réseau d'un seul appareil (Wi-Fi d'un téléphone, carte réseau d'un PC), mettez l'adresse de Warda comme DNS. Naviguez quelques minutes : les publicités disparaissent et l'appareil apparaît dans Appareils.
3. Tout le réseau. Quand tout va bien, déclarez l'adresse de Warda comme serveur DNS dans le DHCP de la box. Les appareils la prennent à leur prochaine connexion (au besoin, éteignez et rallumez le Wi-Fi).

L'assistant reconnaît les box internet des principaux fournisseurs de l'Union européenne, du Royaume-Uni, de la Suisse et de la Norvège (Freebox, Livebox, SFR Box, Bbox, Proximus, KPN, Ziggo, Speedport, Vodafone, FRITZ!Box, TIM, Movistar, MEO, Swisscom, BT, Sky, Starlink… 45 box), et les routeurs achetés pour la maison, systèmes maillés (mesh) compris (TP-Link Deco et Archer, Netgear Orbi et Nighthawk, ASUS, Linksys Velop, Google Nest Wifi, eero, UniFi, MikroTik, OpenWrt, pfSense, OPNsense, Synology, FRITZ!Box…). Il donne les étapes pour le vôtre ; vous les retrouvez dans Réseau → Analyse du réseau, Comment brancher le réseau sur Warda ?, avec les autres routeurs trouvés sur le réseau.

• Votre propre routeur derrière la box (deux routeurs l'un derrière l'autre, « double NAT ») : Warda fonctionne ainsi. La page montre la box derrière le routeur et indique où mettre Warda comme serveur DNS : dans le routeur auquel les appareils se connectent, pas dans la box.
• Un routeur qui répond lui-même aux appareils (eero, Google Nest Wifi, Netgear Orbi, AmpliFi) : son réglage DNS ne choisit que le serveur qu'il interroge. Mettez-y Warda : le réseau est protégé, mais Warda voit tous les appareils comme le routeur. Pour les distinguer, laissez Warda distribuer les adresses (ci-dessous).
• Une box qui ne permet pas de changer le DNS (Livebox en France, SFR Box, Speedport, Vodafone Station en Allemagne, Ziggo, Virgin Media, BT, Sky, Starlink) : laissez Warda distribuer lui-même les adresses du réseau (Laisser Warda distribuer les adresses du réseau (DHCP) dans l'assistant). Il fixe sa propre adresse, vous désactivez le serveur DHCP de la box, et Warda vérifie qu'aucun autre ne répond avant de démarrer le sien.

Si la box annonce aussi un serveur DNS en IPv6, Warda vous prévient : les appareils peuvent passer à côté de Warda. La solution est la même qu'en IPv4 : faire annoncer Warda par la box comme serveur DNS IPv6, à la place du sien. Warda peut aussi s'annoncer comme serveur DNS en IPv6 (Réseau → Services DNS), mais les appareils gardent alors le serveur de la box à côté. Couper l'IPv6 n'est que le dernier recours : cela prive tout le réseau d'IPv6. La méthode, pas à pas : chapitre 10.

Dans Réseau → Analyse du réseau, Analyser le réseau liste toutes les machines du réseau et montre celles qui utilisent déjà Warda (Warda analyse aussi le réseau chaque nuit). Vous pouvez les rattacher à une personne ou à un groupe avant même qu'elles utilisent Warda. La même page indique si le boîtier est branché sur un switch manageable : un tel switch s'annonce (LLDP ou CDP) avec le port du boîtier et son VLAN ; un switch non manageable ne dit rien.

Les appareils ont un nom local, d'abord ceux qui reçoivent leur adresse de Warda, puis les machines trouvées sur le réseau, par exemple tv-salon.maison.lan, et l'interface répond aussi à warda.maison.lan. Le domaine est choisi d'après la langue à l'installation (maison.lan en français, home.lan en anglais) et se change dans Réseau → DNS local. À partir de Warda 0.7.10, vous choisissez le domaine librement : tout nom de domaine d'au moins deux mots (maison.lan, home.arpa, lab.internal, mafamille.local, un domaine qui vous appartient). Deux avertissements peuvent s'afficher sous le champ, et aucun ne vous arrête :

• .local est aussi le domaine de mDNS/Bonjour : les appareils Apple, Avahi (Linux) et certains services Windows cherchent d'abord ces noms eux-mêmes sur le réseau, les noms de ce domaine peuvent donc répondre lentement, voire pas du tout, sur ces appareils ;
• si le domaine existe sur Internet, vos appareils ne l'y atteignent plus : Warda répond lui-même à ses noms, avec les seuls noms de votre réseau. Pour un nom de ce domaine dont vous avez besoin depuis Internet (le site de votre entreprise), ajoutez-le sur la même page, dans Enregistrements du DNS local, avec son adresse publique.

Quel que soit le domaine, les noms qu'il contient ne quittent jamais votre réseau. La même page accepte vos propres noms (un NAS, un lab) : une adresse (A, AAAA), un autre nom (CNAME) ou un texte (TXT).

Proxy du réseau (WPAD), en bas de DNS local, sert à un réseau qui exploite son propre proxy (filtrage d'entreprise, cache) : indiquez son nom ou son adresse et son port, et les appareils qui détectent un proxy automatiquement l'utilisent (les sites et réseaux locaux restent en direct ; ajoutez des exceptions si besoin). Il est désactivé par défaut et doit le rester sinon : envoyer tous les appareils vers un proxy est un moyen classique d'espionner un réseau. Il fonctionne au mieux avec Warda sur le port 80 (la page prévient sinon).

DNS chiffré. Dans Réseau → Services DNS, Obtenir le certificat avec un nom fourni par Warda (rien à régler, gratuit, renouvelé tout seul) : les téléphones gardent leur « DNS privé » tout en passant par Warda. Android : DNS privé, avec le nom affiché ; iPhone et Mac : le profil à télécharger ; Windows et les navigateurs : l'adresse DoH affichée. La même page indique quels serveurs amont valident DNSSEC. À la maison seulement : Android garde son DNS privé partout, et dehors, un téléphone réglé sur ce nom n'a plus aucun nom ; réservez-le aux appareils qui restent à la maison, ou remettez le téléphone sur Automatique avant de sortir. Pour un appareil qui sort, la protection hors de la maison lui donne une adresse à lui, valable partout (chapitre 11). Chaque appareil, pas à pas : chapitre 9.

L'interface en HTTPS, toute seule (à partir de Warda 0.7.10). Tant que le boîtier n'a pas de nom, http://warda mène à https://warda, avec le certificat que Warda s'est fait lui-même, à accepter dans le navigateur. Une fois l'installation terminée et le certificat ci-dessus obtenu (un certificat reconnu par les navigateurs), http://warda mène à https:// suivi du nom du boîtier, sans avertissement. Rien à régler : Warda vérifie les conditions en permanence, et si l'une d'elles n'est plus remplie (certificat expiré, nom perdu), il revient de lui-même à l'adresse saisie. Vous n'êtes jamais enfermé dehors.

• Ce dont les appareils du réseau ont besoin en HTTP n'est jamais redirigé : la page où un enfant demande du temps en plus, la configuration automatique du proxy, les contrôles du boîtier.
• Si vous saisissez l'adresse du boîtier (http://192.168.1.2) au lieu de http://warda, vous n'êtes envoyé vers le nom que si votre appareil a demandé ses noms à Warda au cours des dernières 24 heures. Un autre appareil reste à l'adresse saisie : il ne trouverait pas le nom, auquel seul Warda répond.
• Les appareils placés derrière un autre routeur (ou Warda sous Docker sur un réseau bridge) arrivent chez Warda avec une seule et même adresse : si l'un d'eux a utilisé le DNS de Warda au cours des dernières 24 heures, tous sont envoyés vers le nom quand ils saisissent l'adresse du boîtier. Celui dont le DNS n'est pas Warda ne peut pas ouvrir le nom : https:// suivi de l'adresse du boîtier fonctionne toujours, et la commande ci-dessous est la porte de sortie.
• Après la première redirection vers le nom, le navigateur vous demande de vous reconnecter une fois : une session appartient à l'adresse saisie.
• Dans Réseau → Services DNS, la carte du certificat dit où on en est, à la ligne Interface en HTTP : « HTTP redirige vers https://… », ou « HTTP ne redirige pas vers ce nom : » avec la raison. La ligne s'affiche une fois qu'un certificat existe ; avant, la commande sudo warda https-redirect donne la raison.
• Si un navigateur ne peut pas joindre le nom (un navigateur avec son propre DNS sécurisé, un appareil dont le DNS n'est pas Warda), désactivez la redirection sur le boîtier : sudo warda https-redirect off (on la réactive ; sans rien après, la commande donne l'état et sa raison).

Vérifier les signatures dans Warda lui-même, sur la même page, est désactivé par défaut. Warda vérifie alors lui-même les signatures DNSSEC, en partant de la racine : une réponse modifiée en chemin est refusée. Si les serveurs amont retirent les signatures, la page le signale et les réponses passent comme avant. Ne l'activez pas avec un serveur amont qui filtre (Quad9, AdGuard, NextDNS, Cloudflare 1.1.1.2 ou 1.1.1.3) : ses blocages de noms signés deviendraient des échecs.

Sous Réponses, Réponse à un nom bloqué choisit ce que reçoit un appareil pour un nom bloqué : Page de blocage : l’adresse de Warda, qui explique pourquoi (recommandé), Adresse nulle 0.0.0.0 / ::, NXDOMAIN : le nom n’existe pas ou REFUSED : la requête est refusée. Ne choisissez REFUSED que si Warda est le seul serveur DNS des appareils : la plupart des appareils interrogent alors leur autre serveur DNS, s'ils en ont un. Requêtes par seconde pour chaque appareil (0 : sans limite) arrête un appareil qui interroge trop ; laissez 0 quand le routeur envoie à Warda les requêtes de tout le réseau (Warda ne voit alors qu'un seul appareil).

La page de blocage montre une page qui dit pourquoi un site est bloqué (chapitre 5, « La page Bloqué par Warda »). Depuis 0.8.4, c'est la réponse par défaut : un boîtier où personne n'a choisi de réponse l'utilise, et un boîtier où une réponse a été choisie la garde. Quand Warda ne peut pas afficher la page (son interface web n'est pas sur les ports 80 et 443, ou son autorité de certification n'a pas pu être créée), la réponse par défaut reste l'adresse nulle, et la page dit pourquoi.

Le serveur DHCP de Warda#

Réseau → Serveur DHCP (appelé DHCP jusqu'à Warda 0.8.4) est la page des adresses que Warda distribue quand il remplace le serveur DHCP de votre box. Il est désactivé par défaut : Activer… (ou l'assistant, Laisser Warda distribuer les adresses du réseau (DHCP)) vérifie que l'adresse de Warda est fixe, vous demande de désactiver le serveur DHCP de la box, vérifie qu'aucun autre serveur ne répond, puis le démarre (Vérifier et activer le DHCP de Warda). La page montre ensuite :

• l'état du serveur et ses chiffres, et les Réglages du serveur DHCP : le réseau, la passerelle (la box), le serveur DNS (Warda), le domaine local, la Première adresse et la Dernière adresse de la plage (dans le réseau, jamais l'adresse de Warda ni celle de la box), la Durée des baux (1 heure à 7 jours). L'enregistrement redémarre Warda quelques secondes ; les appareils gardent leurs adresses ;
• les Options données aux appareils : les serveurs de temps et les domaines de recherche ;
• Distribuer des adresses IPv6 (DHCPv6) : désactivé par défaut ; Android ne le demande jamais et garde son adresse automatique ;
• les Adresses données (IPv4 et IPv6, rafraîchies toutes les 15 secondes), avec Réserver sur chaque ligne : un appareil qui a une Adresse réservée reçoit toujours les mêmes adresses, et aucun autre appareil ne les reçoit.

Quand un autre serveur DHCP répond sur le réseau, Warda ne donne aucune adresse tant qu'il le fait, et la page le dit. Pour arrêter, Désactiver, après avoir réactivé le serveur DHCP de la box : sinon les nouveaux appareils n'ont plus d'adresse (les autres gardent la leur une journée).