Il est toujours difficile d’établir précisément le niveau de sécurité de son ordinateur ou de son réseau. Pour cela, il y a des outils spécialisés. Ils sont souvent difficiles d’utilisation pour un non spécialiste. Mais j’ai trouvé une exception intéressante.

Shields up! va vous permettre de tester la sécurité de votre connexion Internet. Un programme tournant sur leur serveur va « attaquer » votre connexion et déterminer, soit si votre firewall est bien configuré, soit si vous prenez des risques en n’en ayant pas.

Je vous invite également à visiter le reste du site. Tràs intéressant, il regroupe de nombreuses informations simples et lisibles (en anglais) sur la sécurité informatique liée à Internet. On y trouve ainsi des outils comme des firewalls personnels (ça reste destiné à des particuliers plutôt qu’à des entreprises).

Pour ma part, j’ai noté que l’apparition sur le marché de nano-ordinateurs comme les box Android ou les Raspberry Pi permet d’envisager de mettre en oeuvre des services qui semblaient horriblement chers et difficiles à déployer auparavant.

J’ai donc décidé d’acheter un Raspberry Pi 3 B+ qui offre une solution qui ne coûte pas cher, qui ne consomme pas beaucoup d’énergie, qui peut rester branchée en permanence, et qui est programmable intégralement. Je voulais déployer les services de base d’un réseau tout en me donnant la maîtrise la plus complète possible.

Le minimum à assurer :

• Un serveur DHCP (pour attribuer les adresses IP en local sur le réseau avec la possibilité de fixer des adresses statiques, pour une meilleure gestion)
• Un serveur DNS qui assure à la fois
  • le cache des recherches DNS (pour accélérer l’ensemble des opérations Internet des utilisateurs)
  • la fourniture de noms pour le réseau local
  • des réserves pour permettre le futur filtrage des recherches DNS (je ne m’intéresse guère au filtrage des contenus adultes, mais je me préoccupe sensiblement de bloquer les phishers, même si les deux problèmes sont techniquement identiques)

Dans le futur, il faudra aussi assurer des services complémentaires (pas étudiés ici) comme :

• Serveur de base temps NTP
• Serveur de noms WINS pour Windows

Comparaison

De fait, j’ai noté que deux serveurs semblaient aptes à gérer simultanément le DHCP et le DNS : Unbound et dsnmasq.

Unbound:

• Serveur léger
• Support DNSSEC
• plutôt tourné vers la sécurité
• Pas de serveur DNS authoritative (mais capable de gérer un domaine local)

dnsmasq:

• Serveur léger
• Support DNSSEC
• DHCP et DNS sont integrés dans un seul serveur
• Capable d’exploiter /etc/hosts pour alimenter le serveur DNS
• Pas de serveur récursif DNS (seulement forward vers un serveur récursif ou authoritative comme 8.8.8.8 ou 9.9.9.9 ou le serveur DNS de votre propre FAI)
• Pas de serveur DNS authoritative (mais capable de gérer un domaine local)

Cela m’a mené à exploiter dnsmasq, principalement à cause de la possibilité de gérer simultanément DNS et DHCP.

Découvertes intéressantes

Première information vite découverte : les serveurs NAS Synology sont tout à fait incompatibles avec le filtrage de DNS de CleanBrowsing. Celui-ci compte synology.me (service nécessaire pour le DDNS de Synology) dans les domaines à risque. De nombreux services du NAS cessent immédiatement de fonctionner.

Je n’ai pas vérifié mais il est probable que de nombreux autres services DDNS (Dynamic DNS) soient black-listés pour les mêmes raisons : devant le nombre de petits serveurs Synology (ou autres) mal configurés, ces DDNS renvoient sans doute vers une forte proportion de domaines qui ont été pris en otage par les hackers.

Il faut donc pouvoir gérer cela plus finement si vous avez vous-même votre propre NAS Synology (et sans doute d’autres marques).

Observations

Après quelques mois d’utilisation de dnsmasq sur Rapsberry Pi, il est temps de faire quelques commentaires pour partager cette expérience.

Tout d’abord, cela a très bien fonctionné. J’ai bien eu un cas où le serveur DHCP semble s’être arrêté sans autre forme de procès. J’ai essayé de comprendre la cause mais il s’est révélé plus simple de rebooter le serveur (bouton On-Off) pour retrouver le service. Evidemment, quelques dizaines de minutes de recherche m’auront valu quelques regards inquiets de l’autre utilisatrice du réseau…

Les filtres DNS mis en place pour limiter l’accès à des domaines particulièrement dangereux fonctionnent bien, mais il est exact qu’il ne semble pas y avoir eu de déclenchement intempestif (ce n’est pas la seule barrière que j’utilise contre les sites malveillants). Le script de création du filtre est ci-dessous :

#!/bin/sh
#Dated 2020-11-10 1.0 Addition of --quiet to wget (to reduce clutter to /var/mail/pi)
#                     *** STABLE RELEASE ***

cd /var/lib/work

#Get anti-phishing filter lists from Internet
wget -q -O ./isc-low.txt 'https://isc.sans.edu/feeds/suspiciousdomains_Low.txt'
wget -q -O ./isc-med.txt 'https://isc.sans.edu/feeds/suspiciousdomains_Medium.txt'
wget -q -O ./isc-hig.txt 'https://isc.sans.edu/feeds/suspiciousdomains_High.txt'
wget -q -O ./yoyo.dnsmasq.txt 'https://pgl.yoyo.org/adservers/serverlist.php?hostformat=dnsmasq&hostformat=nohtml&showintro=0&mimetype=plaintext'
#Remodel the lists into DNSmasq filters
catcherIP='192.168.1.250'
inputfile="./isc-med.txt"
tmpfile="/tmp/.adlist.$$"
tmpconffile="/tmp/.dnsmasq.conf.$$"
configfile="/etc/dnsmasq.filter.conf"
configheader="/etc/dnsmasq.filter.header"

#Start with putting our own header
    [ -f "$configheader" ] && cat $configheader >> $tmpconffile
#check if TmpFile could be init'd with header
if [ ! -s $tmpconffile ]
then
    echo "temp fil '$tmpconffile' could not be found or is empty; quitting"
    exit
fi
#Remove list headers
cat $inputfile | grep -v "^#" | grep -v "^Site$" > $tmpfile
#Buid list to DNSmasq format, and add it to the file
sed "s/(.*)/address=\/\1\/${catcherIP}/" $tmpfile >> $tmpconffile
#Move the final list to destination
sudo cp $tmpconffile $configfile

Un des avantages de ce serveur est sa rapidité. Je pouvais m’en inquiéter avant de connaître le Raspberry Pi, mais étant donné la faible charge de travail sur ce serveur (malgré un petit serveur HTTP, des connexions à distance et quelques scripts locaux) et la bonne puissance de la CPU, tout se passe très bien même devant la dizaine de clients qui font appel au serveur DNS en mode à peu près continu (les iPhones sont particulièrement exigeants).

dnsmasq est parfaitement capable de gérer le DHCP IPv6, et le DNS IPv6 correspondant. La documentation à ce sujet est faible (c’est le moins qu’on puisse en dire), mais ça fonctionne bien et j’ai pu assurer un fonctionnement fiable dans ce domaine également (temporairement, le Raspberry Pi m’a même servi de proxy pour tout le trafic IPv6 sans faiblir ou être remarqué ; là, j’ai été surpris par sa puissance).

Après une installation initiale qui fonctionnait avec une allocation dynamique des adresses IP, j’ai passé le serveur DHCP en configuration presqu’exclusivement statique (c’est un choix personnel qui me permet de reconnaître plus facilement le contenu de mon réseau). Là aussi aucune difficulté, aussi bien en IPv4 qu’en IPv6.

Conclusion : totalement positive.

Dans le futur, je peux être tenté de déployer des serveurs DHCP et DNS plus puissants (peut-être ou peut-être pas) et surtout un espion de réseau genre SNORT ou SURICATA. Mais c’est une autre histoire. Et peut-être que dans ce dernier cas, je serai tenté par un calculateur avec beaucoup plus de puissance de calcul (j’ai un Avenger96 à l’essai, mais il ne me semble pas idéalement supporté en matière de soft).

Quelques autres liens intéressants

• D’autres solutions pour un serveur DHCP :
  • Installation de DNSmasq (DHCP seul)
  • Dragon : installation de DNSmasq (DHCP et DNS)
  • Instructables : installation de DNSmasq (DHCP et DNS)
  • Serveur ISC-DHCP sur Debian
  • Serveur ISC-DHCP sur Ubuntu
  • Outils prévus pour fonctionner avec ISC-DHCP
  • Guide rapide pour l’installation de serveurs DHCP, DNS et NTP sur Raspberry Pi
• Des informations sur l’installation d’un serveur DNS :
  • Serveur DNS BIND en local sur Debian 9
  • Serveur DNS BIND authoritative sur Ubuntu
  • Serveur DNS BIND comme « caching » ou « forward-only » sur Ubuntu
• Filtres DNS :
  • LE guide sur le nettoyage du DNS à partir de listes du domaine public
• La mise en oeuvre sur un NAS ou un routeur Synology :
  • Configuration de serveur DNS sur DSM
• Comparaisons de serveurs :
  • BIND vs. dnsmasq vs PowerDNS vs Unbound

Je voulais donc utiliser un vieux Chromecast de 2013 (mais le problème et la solution sont identiques avec le modèle plus récent) pour diffuser un diaporama de photographies sur un téléviseur qui trône chez nous entre la cuisine et la salle à manger. Seulement, voilà, pas moyen de faire tout ça d’un seul coup.

La solution : Utiliser IrfanView pour réaliser un diaporama sur l’écran d’un PC (un portable ou un PC de bureau, mais ça marche aussi avec un Mac). Puis demander au navigateur Chrome de caster tout l’écran sur le Chromecast qui est situé plus loin sur le réseau. Pas compliqué mais je cherchais (sans succès) une solution tout intégrée dans Chrome…

• Un cable Ethernet direct
• Un switch/commutateur réseau Ethernet
• Une paire de plug (comme les FreePlugs fournis par Free)

Mais il y a une liaison qui ne passe par malgré son apparente innocuité :

• Un routeur en mode bridge

Cela me semblait pourtant assez innoffensif. Je reliais la FreeBox au FreePlayer par l’intermédiaire d’un routeur Cisco e4200 en mode bridge (et configuré en point d’accès AP-WiFi) qui se trouvait tenir apparemment le double rôle de commutateur et de point d’accès WiFi. Mais un bridge n’est pas un commutateur : le FreePlayer n’a jamais réussi à communiquer avec la FreeBox (donc, plus de télé !)

Les deux fonctionnent au niveau de la couche 2 du réseau (data link / liaison de données). Néanmoins, cela ne marche pas.

Note : je n’ai pas vérifié mais je suppose qu’un smart switch sur lequel on implémente un VLAN est susceptible de rencontrer les mêmes problèmes. Néanmoins, un routeur poserait les mêmes problèmes (ou plus).

Deuxième note : pour ceux qui penseraient être plus malins que moi, il ne suffisait pas d’associer directement, puis de passer de l’autre côté du bridge. Même manuellement pré-associé, le retour à une situation derrière le bridge se traduit par le même problème.

Je possède un nom de domaine (Roumazeilles.net) mais depuis ma migration vers une FreeBox, il semble plus comfortable d’émettre mes mails via le serveur SMTP de Free. Sauf que, pour se protéger du SPAM, la plupart des opérateurs de courrier électronique vérifient l’origine du mail pour s’assurer qu’il arrive bien d’une origine autorisée (ce qui permet de distinguer beaucoup de SPAM et de mails de phishing).

SPF record – Tentative #1

L’idée de base (la plus évidente) consistait à créer un SPF record de la forme suivante :

…qui ressemble à la valeur par défaut recommandée par OVH (mon hébergeur et le gestionnaire de mon DNS).

Mais cela pose à vrai problème : Free n’a rien déclaré ni pour free.fr, ni pour smtp.free.fr, ce qui mène à une erreur d’interprétation du record SPF par la plupart des opérateurs de courrier électronique. Un SPF record invalide garantit presque que le mail ne sera pas diffusé correctement.

SPF record – Tentative #2

Comme les serveurs de mail de Free (et ils sont nombreux) sont de la forme :

Il est possible de passer plutôt par une déclaration d’adresse IP. C’est moins élégant, mais on peut faire.

De fait, la déclaration s’allonge singulièrement. Au point que le record devient invalide parce que comportant trop d’entrées. Il faut donc sérieusement optimiser.

SPF record final

La solution a finalement été de créer un SPF record taillé sur mesure.

Il donne une tranche d’adresses IPv4 pour les serveurs STMP de Free, et une autre tranche de 16 adresses IPv6 pour les mêmes serveurs. Compact et efficace.

Conclusion

Le principal inconvénient (mais il n’y a guère de contournement tant que Free n’aura pas fait son travail pour décrire correctement son propre SPF record dans son DNS) est que les adresses de Free sont « en dur ». Au moindre changement chez eux, je serai pris par surprise et je risque de perdre quelques mails.

Au delà, je recommande l’excellent site de test de courriers électroniques mail-tester.com qui permet de vérifier quasi-instantanément (c’est plaisant pour des modifs de DNS) les essais de configuration et qui donne un excellent rapport de test, très lisible.

Sources d’information

Merci à ces sites/auteurs qui m’ont aidé à m’y retrouver :

• Nicolass sur ForumNews
• Julien Falconnet

Et merci à Vincent Rubiolo pour avoir détecté l’erreur de copier-coller dans la version originale de l’article.

1. Sauvegardes
2. Synchronisation entre plusieurs machines (plusieurs PC et plusieurs iPhone)

CrashPlan fournissait bien la fonction de backup malgré un volume important de photo (plus de 2 To à ce jour), mais n’offrait que peu de possibilités en synchronisation. Il était donc temps de me consacrer à mieux définir le besoin et à trouver une vraie solution.

Besoin

Pour la sauvegarde, j’ai depuis longtemps quelques attentes complémentaires :

1. Au moins trois sauvegardes
2. Au moins deux technologies différentes (ne pas reposer uniquement sur des disques durs, par exemple)
3. Au moins un sites extérieur (pour se protéger contre les vols, les incendies, etc., off-site, cloud ou coffre-fort extérieur)

Pour la synchronisation, l’emploi de DropBox et d’Evernote (sur des petits volumes) m’a permis d’identifier mes besoins plus précisément :

1. Partages en temps réel de certains fichiers critiques mais mis à jour très quotidiennement (comme les notes d’Evernote, la base de données de mon gestionnaire de mots de passe, etc.)
2. Sécurisation et encryptage (je ne veux pas voir se promener ni mes mots de passe, ni mes données bancaires).

Solution

Il est clair que j’ai été influencé par plusieurs facteurs dans mon choix, et je vais essayer de les expliciter (votre solution ne sera peut-être pas la même que pour moi). Mais commençons par ce que je mets en place.

Un petit serveur de fichier (un Synology DS413j) à mon domicile. Il héberge 4 disques durs de 3 To (au départ, des Western Digital RED) en mode SHR/RAID 5 pour une capacité totale de 6 To.

La capacité importante était dictée par le souhait d’héberger un serveur multimédia conséquent et des quantités de photos (nous avons aujourd’hui sensiblement plus 100 000 images sur ce serveur).

Le choix de RAID 5 s’est très tôt imposé à moi parce que c’est un optimum pour apporter de la redondance mais on perd beaucoup moins d’espace que dans les autres modes RAID souvent proposés (à deux disques seulement). La solution SHR de Synology est encore plus intéressante parce qu’elle tolère très bien des disques de taille différente (les deux plus petits disques déterminent la capacité maximale. Il faut donc éviter d’avoir un seul disque de 500 Go avec trois disques de 4 To ; ce serait du gaspillage) et elle accepte comme tous les RAID de remplacer un disque en panne par un nouveau (pendant la reconstitution du RAID/SHR, la protection n’existe plus mais cela n’est que temporaire – et vous pouvez continuer à travailler sur les fichiers pendant ce temps).

Le choix de Synology est encore plus justifié par un point rarement souligné quand on compare les serveurs RAID du marché : l’offre logiciel est particulièrement alléchante. DSM (l’OS de Synology) héberge des « packages » pour plein d’applications. Les compléments que je vais décrire plus bas arrivent tout prêts et sont ridiculement faciles à installer et configurer même par un amateur.

Ainsi, j’ai pu déployer une solution à plusieurs étages :

1. synchronisation entre PC (trois PC) et serveur Synology (via le Cloud Station Server)
2. synchronisation entre serveur Synology et Amazon Cloud Drive (via le Cloud Sync)

Cloud Station Server et Cloud Sync sont deux applications de Synology qui sont installées en à peu près 5-6 minutes (téléchargement compris) à partir du « Centre de Paquets » de Synology DSM.

Si l’on s’intéresse d’abord à la partie synchronisation entre PC (ou iPhone) et Synology, l’ouverture de Cloud Station Server dans la liste ci-dessus (dans l’interface de gestion de mon serveur DSM sur Synology DS413j) amène directement à un menu qui permet de télécharger l’application Windows (ou iPhone) à installer pour lancer les synchronisations entre PC et serveur cloud sur Synology.

Quelques clics et c’est fait. On ne peut faire plus simple. En quelques minutes à peine, la synchronisation du ou des PC est lancée. Elle a lieu en arrière-plan (ne perturbe pas le fonctionnement du PC) et la seule chose à remarquer est la modification de l’icone de chaque fichier qui signale s’il est sauvegardé sur le cloud (voir exemples ci-dessous) ou s’il est encore en attente de synchronisation (marque bleue).

A cette étape, les PC sont synchronisés entre eux, via le serveur de Synology. On peut considérer qu’il s’agit d’une sauvegarde parce que j’ai choisi de garder 32 versions successives de chaque modification de fichier et de ne pas laisser Synology effacer les fichiers (ils sont mis dans une corbeille à papier/fichiers). Donc, j’ai la fonctionnalité de Time Machine en plus d’un backup transparent.

Important : la synchronisation entre PC et Synology cloud server est très rapide et ne consomme pas beaucoup de ressources même sur un petit PC (contrairement à certains programmes de backup que je ne nommerait pas, comme Cobian Backup). C’est rassurant : les utilisateurs peuvent oublier la sauvegarde en arrière-plan qui ne les dérange pas, s’arrête si le PC s’endort, repart silencieusement quand il se réveille et ne ralentit pas le PC de manière observable.

De la même manière, les iPhone et iPad ont accès à la synchronisation (de certains fichiers, je ne veux pas les déborder) depuis n’importe où.

La seconde fonctionnalité est de répliquer ces informations sur un autre site (en l’occurrence, j’ai choisi de synchroniser avec Amazon Cloud Drive ou ACD parce que le coût de 70€/an me paraissait très raisonnable). J’ai bien compris que la vitesse de transfert serait limitée par mon serveur RAID (le DS413j est assez ancien, est une entrée de gamme avec un petit processeur ARM, mais il ne m’a pas coûté cher) plutôt que par ma bande passante (une fibre optique chez SFR) ou par Amazon (ça dépote chez tous les utilisateurs).

Synology Cloud Sync offre cette fonction en quelques clics. Il suffit de donner les coordonnées d’Amazon pour que Synology s’occupe de tout et que la mise en synchronisation commence après moins d’une minute (j’avais fait l’essai avec Google Drive, c’est tout aussi facile et tout aussi rapide – le débit est logiquement aussi élevé, ce qui est plus que rassurant ; j’avais envisagé de travailler avec hubic de OVH, mais les commentaires sur Internet et des discussions personnelles que j’ai eues semblent indiquer un produit qui n’offre pas la performance et la fiabilité que l’on peut souhaiter ici).

Observations

Seules remarques à faire après un peu d’utilisation :

• • Le DS413j a une petite CPU de chez ARM. La charge de CPU reste très élevée (~100%) en permanence pendant la phase de synchronisation.
  • La première synchronisation est longue (plusieurs jours ou plusieurs semaines selon le volume de données à synchroniser). Je recommande d’y aller par étapes et de ne pas tout synchroniser d’un coup.
  • Les synchronisations suivantes sont généralement presqu’instantanées.
  • Les fichiers modifiés récemment sont généralement les premiers mis en synchronisation.
  • J’ai utilisé Cloud Sync pour relier le serveur à Amazon, mais il existe aussi une solution qui permet de synchroniser de Synology à Synology : cloud Station Share Sync. Je n’ai pas essayé mais cela peut valoir la peine si vous avez deux sites (une résidence secondaire ? une entreprise avec deux bureaux ?) et deux serveurs Synology. Cela semble devoir être aussi facile.

• Pour la fiabilité du serveur RAID, il vaut mieux choisir des disques durs qui sont conçus pour une utilisation 24 heures sur 24 et 7 jours sur 7. Je mentionne ainsi les Western Digital RED (spécialement conçus pour les serveurs RAID) ou les Hitachi UltraStar (version 24/7 des DeskStar). Si vous pouvez éviter d’avoir 4 ou 5 disques identiques, vous éviterez de voir tous les disques tomber en panne quasi-simultanément. Voir les statistiques de BackBlaze sur la fiabilité des disques durs.
• Vous vous demandez peut-être encore où sont passées les « trois copies » auxquesles je faisais référence plus haut. Il y a :
  • Le fichier original sur un PC maître
  • Une copie manuelle sur un disque dur séparé (parfois deux ou trois disques)
  • Une synchro sur le serveur Synology
  • Une synchro sur Amazon Cloud Drive
• Comme le Synology DS413j n’est plus au catalogue, vous pouvez encore trouver le DS416j ou le DS418j.
• Sur le NAS Synology, j’ai refusé de laisser le répertoire synchronisé visible à Windows : un ransomware ne peut donc pas le voir, il faudrait passer par le soft de Synology. Ca me protège contre un ransomware qui essayerait d’encrypter toutes les données normalement visibles sur le réseau. (Je vois quand-même les données par l’interface web de DSM pour les contrôles).
• Si un ransomware veut m’encrypter les fichiers, ils risquent d’être synchronisés (et perdus). J’ai donc pris la peine de valider les versions, le versioning sur le serveur NAS de Synology (comme ça, je peux remonter le temps avec l’attaque et éviter de « payer la raçon »).

A partir d’aujourd’hui, Roumazeilles.net vous aide en ajoutant un accès complètement transparent aux deux adresses :

https://www.Roumazeilles.net/

http://www.Roumazeilles.net/

Pour la plupart, cela ne change rien. Pour ceux qui cherchent à préserver chaque brin de leur vie privée, cela peut aider (un peu).

Lecture complémentaire (traduction Google) : HTTPS Everywhere | Electronic Frontier Foundation

Pour les plus techniques de mes lecteurs, je signale que cela a été rendu possible (facile) par mon hébergeur (OVH) qui fournit gratuitement un certificat SSL que je n’ai eu qu’à activer sur mon interface d’administration.

Depuis quelques jours, j’étais confronté à un nombre inhabituel d’erreurs (surtout quand j’essayais d’ouvrir plusieurs pages web simultanément – une mauvaise habitude personnelle, mais on ne se refait pas). Pas moyen de trouver d’où cela provenait. j’ai testé le réseau depuis toutes ses zones (évidemment, il y a deux sous-réseaux et deux Wifi dans l’appartement). Mais je n’arrivait qu’à une conclusion : cela marchait bien en petite demande mais pratiquement pas dès que la charge augmentait sur les accès web, avec des refus de reconnaître les adresses. A l’évidence un problème lié au traitement du DNS. J’ai joué avec toutes les configurations possibles (y compris le changement de serveur).

Mais la solution se trouvait ailleurs : à force de lire et relire tous les paramètres de configuration de la Box Fibre de Numéricable, j’ai pu me souvenir que j’avais rajouté les options de configurations comme la détection des ports scan et des IP flood. Là était le problème : la détection des IP flood reconnaît mes rafales de requêtes DNS comme un type d’IP flood ! On en retrouve bien la trace dans le journal de log de la box…

Il aura suffi de revenir à la configuration initiale (qui est affichée dans l’image ci-contre).

Non, mais qu’est-ce qui m’a pris aussi de faire des essais comme cela, sans les noter dans le carnet de bord du réseau ? (ça aide à revenir à la source…)

Vous pouvez voir un autre commentaire du même type sur le forum MacBidouille.

J’ai une connexion Internet Fibre chez Numéricable qui utilise obligatoirement une adresse IP dynamique (pas d’adresse IP fixe chez Numéricable qui sont un peu gentiment arriérés). Ce n’est pas bien grave sauf que j’ai un serveur RAID provenant de chez Synology (une DiskStation DS413j à 4 disques en mode redondant RAID-5) qui me procure quelques services que je souhaite partager avec Internet (quand je suis en déplacement avec un mobile ou un PC portable, j’aimerais accéder à mon serveur FTP, à mon serveur de mail).

J’ai donc décidé de m’organiser pour permettre de retrouver facilement le Synology DiskStation depuis un sous-domaine (par exemple mail.roumazeilles.net).

La solution que j’ai adoptée :

Adresse IP dynamique :

Comme mon adresse IP est dynamique, pas moyen de faire grand chose avant d’avoir résolu ce point. J’ai opté pour le service DDNS de Synology. Comme j’utilise DSM 5.0 (la version la plus récente du soft de Synology), il est accessible dans le panneau de configuration au menu « Accès extérieur ». Il suffit d’ajouter un DDNS en choisissant Synology comme prestataire et j’ai enregistré un nom qui me convient (disons ds). A partir de là, malgré les changements d’adresse IP, ma DiskStation reste accessible à ds.synology.me.

Sous-domaine du DNS :

Il faut ensuite faire pointer mail.roumazeilles.net vers ds.synology.me. Le sujet est un peu plus compliqué parce que j’ai déjà réservé le nom de domaine roumazeilles.net chez Gandi et qu’il pointe vers un serveur mutualisé chez OVH. C’est le serveur d’hébergement (loué chez OVH) qui comporte toute l’information relative à roumazeilles.net. J’ai donc du aller sur mon serveur et dans sa configuration DNS modifer (dans votre cas, il s’agira peut-être d’ajouter) un enregistrement de type CNAME.

mail 10800 IN CNAME ds.synology.me. (N’oubliez pas le point final dans votre entrée CNAME, ou elle ne fonctionnera pas !)
Comme j’ai de la chance, mon panneau de contrôle OVH me permet de ne pas me rater avec la syntaxe exacte, mais l’affaire est identique : je lui dit que le sous-domaine mail est décrit pas un enregistrement CNAME qui pointe directement sur ds.synology.me (un peu abscons mais pas très méchant).

Ensuite, il reste à attendre que l’information DNS « se propage » (quelques minutes à quelques heures, parfois 24-48h). Et un petit contrôle se fait avec ping mail.roumazeilles.net qui doit répondre correctement avec mon adresse IP chez Numéricable.

Le Kermit Project est arrêté, avec effet au 1er juillet 2011.

Je crois que j’ai commencé à utiliser Kermit sur une mini-ordinateur Vax 11/780 de Digital Equipment Corporation pour échanger des données entre divers petits systèmes à base de microprocesseur.

C’était le top du top de la technologie informatique… à cette époque.

Au début était Google et ses serveurs installés en Chine depuis 2006. La société, connue pour son motto « ne pas faire le mal », y a accepté les conditions imposées par le gouvernement de la RPC et installé des filtres efficaces et des outils de censure brutale des résultats de ses recherches (si vous voulez des informations sur Tienanmen les résultats visibles en Chine et ailleurs dans le monde n’ont strictement rien à voir – de la politique on passe au tourisme). Mais en janvier 2009, Google a découvert que certains hackers ont obtenu des informations détaillées arrachées à ses ordinateurs au sujet d’entreprises américaines et de défenseurs de la liberté en Chine. Sur ces entrefaites, Google a annoncé sa double intention de lever les mesures de censure et de simplement quitter la Chine.

Certaines choses restent imprécises :

• Google est-elle vraiment sérieuse dans ces deux propositions ?
• La vraie raison de leur colère est-elle politique ou économique ? (le gouvernement américain, Hilary Clinton en tête, n’a pas hésité à soutenir Google très activement).

D’autres choses sont claires :

• Les fuites sont restées limitées (seuls l’objet des mails ont été pris à Google et non pas les contenus).
• Les hackers sont proches des autorités chinoise et n’ont pas seulement visé Google.
• Les hackers ont utilisé des pratiques de manipulation sociale (social engineering) et des failles de sécurité présentes dans Internet Explorer et Adobe PDF, qui sont probablement connues de Microsoft et Adobe.

Qu’arrive-t-il alors quand une telle information est librement échangée par les agences de presse ? La plupart des experts ont commencé par gloser sur les failles de sécurité de Internet Explorer 6 (et du lecteur PDF d’Adobe, également). Nombreux sont ceux qui ont ajouté que Internet Explorer 6 est plutôt vieux et qu’il est malheureux de voir autant de gens continuer à l’utiliser alors qu’il est connu comme une des plus grosses fragilités de la navigation sur Internet. C’est ainsi que des gens très sérieux ont décidé de demander le remplacement rapide d’Internet Explorer (principalement v6) par des navigateurs plus modernes. Ce sont mêmes des représentants de gouvernements allemands, français et australien que l’on a entendu prêcher pour le remplacement de Internet Explorer.

Les concurrents n’en croyaient pas leurs yeux et leurs oreilles : cela a provoqué une véritable ruée vers les autres navigateurs. Par exemple (voir le graphe ci-contre), Firefox a vu une explosion de ses téléchargements en Allemagne (presque 300.000 allemands ont téléchargé Firefox en quatre jours, soit trois fois plus qu’en temps normal). Cela était vrai aussi dans d’autres pays où la mesure était moins précise et les autres navigateurs ont observé le même phénomène : Opera, Safari, Chrome (qui profite actuellement d’une grosse campagne de pub dans certains pays européens comme la France).

Fort bien! Voilà de meilleurs navigateurs sur de nombreux ordinateurs. Cela aurait pu en rester là. Mais plusieurs évènements ont amplifié la visibilité de ce mouvement. Le premier est que Firefox était sur le point de lancer une nouvelle version de son navigateur à succès (on a noté que dans plusieurs endroits du monde, Firefox est maintenant plus utilisé que le navigateur de Microsoft). Sous le nom de v3.6, cette nouvelle version est plus importante que ne le laisserait penser son petit accroissement numérique (de 3.5 à 3.6 nous n’aurions dû voir que des améliorations mineures). Cela a accéléré la ruée, avec les internautes intéressés par des caractéristiques comme :

• Skins proposées pour personnaliser le navigateur
• Plus rapide, plus stable
• Plus sensible à la sécurité avec l’ajout de messages clairs pour les utilisateurs, à propos des risques de sécurité comme le rappel des plug-ins qui attendent d’être mis à jour.
• Pré-visualisation des onglets, qui permet de voir leur contenu simplement en les balayant avec Ctrl-Tab
• Aptitude à naviguer en laissant peu de traces sur votre PC (utile pour ceux qui souhaitent visiter les sites réservés aux adultes)

Cette version est aussi appréciée par les développeurs pour un tas de petites améliorations (comme les gradients CSS).

Cela fait une jolie histoire à raconter, mais ne vous y limitez pas. Firefox est un superbe navigateur et vous devriez sérieusement penser à télécharger Firefox 3.6 dès maintenant !

Si vous n’êtes pas complètement convaincu, vous pouvez aussi considérer une autre option : le dernier navigateur Opera. Opera v10.10 est disponible depuis plusieurs mois déjà et offre tous ces avantages, plus d’autres encore comme :

• Opera Unite : pour partager facilement des données avec d’autres utilisateurs Opera, sans avoir à ouvrir un site web ou à utiliser un réseau social.
• Opera Turbo : pour qu’Opera s’adapte aux connexions Internet les plus limitées.
• Speed dial : pour un accès plus rapide à quelques sites web de votre choix (des amphétamines pour les signets).
• Le pilotage du navigateur par des mouvements de souris pour aller toujours plus vite.
• Opera link : pour partager les signets et speed dial avec plusieurs ordinateurs où vous utilisez Opera.

Opera est bien ma solution préférée pour la navigation (même si je me dois de tester mes sites web avec tout ce qui me tombe sous la main, Opera est bel et bien mon pont d’envol pour Internet). Allez télécharger Opera v10.10 maintenant.

Et, si cela ne suffit toujours pas, vous pourriez envisager le navigateur de Google: Chrome est petit et rapide. Comme tout à commencé avec Google en Chine, c’est normal.

Tout allait si vite que Microsoft se devait de faire quelque chose. Bien sûr, ils ont des versions plus récentes d’Internet Explorer (IE8 est inclus dans Windows 7 et peut être téléchargé librement. Mais cela ne suffisait pas vraiment, trop d’internautes commence à se plaindre de voir Microsoft attendre la date normalement prévue pour les mises à jour mensuelles. Pire, certains experts ont fait remarquer que Microsoft était déjà au courant du problème depuis plusieurs mois. Dans ces conditions, ne rien faire allait tourner au fiasco de relations publiques et produire des vents désagréablement contraires.

Microsoft s’est donc précipité pour produire une mise à jour hors-circuit de IE6. Windows Update offre maintenant la correction pour tous les utilisateurs Windows encore équipés de IE6 (bien sûr, encore faut-il avoir validé Windows Update et on sait que nombre d’internautes ne l’ont pas fait ou refusent les mises à jour proposées – c’est regrettable et la raison principale pour laquelle tant de PC sont infectés de chevaux de Troie, de virus et de programmes de pub). Si vous n’avez pas encore profité des offres de passage à IE7 ou IE8, il est grand temps de mettre à jour votre vieille bécane.

Cette histoire connaîtra encore quelques rebondissements, je crois. Mais il y a une leçon à retenir (par Google, et la plupart des internautes) :

Maintenez votre navigateur à jour et ne cliquez pas sur les liens d’un message de courrier électronique inattendu.

Il y a aussi une leçon pour Microsoft :

Désolé si vous pensiez être débarrassé des vieilleries comme IE6, mais le quasi-monopole (présent ou passé) implique des responsabilités.

La version 1.7 de Cygnus est disponible qui supporte maintenant Windows 7 (mais abandonne aussi les Windows 95, 98 & Me).

Comme si cela ne suffisait pas cette version offre aussi la possibilité de configurer IPv6 (si vous êtes déjà attiré par cette solution) ou le support d’installation multiples.

Cygnus v1.7-1.1 new release.

Il y a peu de choses à faire pour améliorer sensiblement la vitesse de son Internet. Évidemment, vous pouvez toujours changer de Fournisseur d’Accès, mais c’est compliqué. Par contre, il est relativement facile d’avoir une vitesse de connexion limitée par le temps de réponse du serveur DNS de votre fournisseur. Ce serveur sert à convertir le nom de domaine (par exemple, www.roumazeilles.net) dans son adresse IP numérique (la seule dont a vraiment besoin le navigateur).

Mais tous les serveurs DNS ne sont pas nés égaux et si ceux qui sont mis à votre disposition par votre Fournisseur d’Accès Internet (FAI) sont avantagés (ils sont les plus proches de votre ordinateur), ils ne sont pas forcément les plus rapides. NameBench permet de déterminer facilement et automatiquement quel est le serveur DNS le plus efficace (et de comparer avec votre configuration actuelle).

Dans mon cas personnel, je viens de gagner 50% (pas moins !) alors que je pensais avoir une configuration pas mauvaise du tout. En fait, les serveurs de Neuf Telecom sont plus rapides pour moi que les serveurs de Free…

Ça fonctionne aussi bien sur Windows que sur MacOS ou sur GNU/Linux.

Tant que j’y suis, pour ceux qui se poseraient la question, Oui ! j’ai bien inclus le nouveau DNS de Google dans la comparaison des options et ça ne m’a pas beaucoup influencé : Google DNS est plutôt plus lent que la plupart des autres options disponibles gratuitement et librement.

A noter si vous utilisez Opera : j’ai rencontré un problème plutôt difficile à résoudre ces derniers temps.

Alors que je bricolais avec IPv6 en vue de convertir mon réseau personnel et mon PC principal, j’ai commencé par goûter l’eau en essayant d’en valider le fonctionnement sur ma config Windows XP. Pour mon malheur, Opera est complétement prêt à passer à IPv6 mais mon routeur ne l’est pas. Alors le premier effet observable a été qu’Opera, en décidant d’utiliser absolument IPv6 pour naviguer sur tout site qui signalait sa capacité IPv6 dans son DNS (pas nombreux, mais Google et Free mon FAI font partie de cette liste), a essayé de se connecter à ces sites en IPv6 mais a systématiquement échoué (parce que le reste de ma configuration n’est pas 100% IPv6). Pour 99% des sites web, cela ne faisait aucune différence, mais Google et Free étaient devenus inaccessibles…

Il m’aura fallu plusieurs jours (et l’aide de Google – à travers Firefox, Safari et Chrome) pour comprendre que c’est un problème connu et pour retirer IPv6 de ma configuration Windows pour le moment.

Je vais devoir améliorer mon routeur avant de ré-essayer.

Ces serveurs changent de temps à autre sans forcément prévenir. Mais dans les cas qui m’intéressaient, je ne m’était vraiment pas préoccupé du problème pour des ordinateurs qui n’avaient pas eu à être reconfigurés depuis des années. Conséquence : d’abord, des ralentissements un peu curieux ; puis la panne, apparemment plus d’Internet.

Au moment de corriger le tir, j’ai eu du mal à trouver les adresses des serveurs DNS des grands fournisseurs d’accés francophones. Mais voilà une source mise à jour régulièrement : Serveurs DNS des principaux FAI.

A garder dans un coin, n’est-ce pas ?

Principalement destinée à contrer le téléchargement illégal, cette loi n’a visiblement pas pris en compte la réalité du réseau Internet (nous y viendrons dans un instant) et les obligations d’une démocratie. Sur ce dernier point, le Conseil Constitutionnel, vous le savez, a bloqué la troisième étape de la réponse graduée (voir l’analyse très complète et très documentée de Maitre Eolas). Après deux avertissements, l’escalade devait mener à la fermeture de l’accès Internet par une simple décision administrative. Ce n’est plus possible, même si le (nouveau) gouvernement devrait prochainement proposer une nouvelle solution probablement acceptable par les élus et par le Conseil Constitutionnel. Nous verrons…

En attendant, il se trouve que la technologie évolue très rapidement et nos députés et sénateurs qui n’ont aucune idée de ce qu’ils combattent (voir vidéo ci-contre). D’ores et déjà des solutions de contournement sont en cours d’étude :

• Plusieurs trackers P2P (comme ThePirateBay) ont commencé à semer de fausses adresses IP (dans certains cas, ce sont les adresses de routeurs ou autres imprimantes parfaitement incapables de faire du P2P ; dans d’autres cas, ce sont de vraies adresses IP de vrais utilisateurs Internet ce qui va obliger les polices du Net à vérifier formellement le bon fonctionnement de chaque adresse)
• On nous annonce l’arrivée de réseaux privés virtuels (VPN) qui, pour le prix de quelques euros par mois, permettront de faire du P2P absolument hors de l’observation de l’extérieur (y compris hors de la vue de votre propre FAI). C’est déjà en cours de déploiement.
• Les logiciels de P2P (en particulier du côté de BitTorrent, semble-t-il) commencent à intégrer des interfaces réseau IPv6 qui sont certainement le premier pas vers une communication totalement cryptée (et donc inaccessible à la police comme à la justice, sans parler de la SACEM).

photo credit: photogestion

Pire encore, c’est dès aujourd’hui, avec des techniques déjà existantes que la loi peut être contournée. Le législateur, visiblement pas au courant de ce qui existe, n’a pas su proposer de solutions aux vrais problèmes posés :

• Comment assurer la condamnation de millions d’internautes (à tout le moins, de centaines ou de milliers d’internautes : aux USA, les poursuites ont atteint les dizaines de milliers – sans aucun effet sur le succès du téléchargement illégal)
• Comment repérer les contrevenants : il ne suffit pas de proposer un moyen de chasser les utilisateurs des moyens les plus connus actuellement (comme Kazaa, eMule/eDonkey, BitTorrent), il faut aussi pouvoir repérer les autres (comme les téléchargements depuis les newgroups)
• Comment identifier de manière positive le contrevenant à partir de données aussi peu fiables qu’une adresse IP (qui -au mieux- permet d’identifier un ordinateur mais certainement pas un utilisateur)

En fait, les solutions sont très nombreuses comme vous pourriez l’apprendre sur Linux Manua :

• 10 antidotes anti-Hadopi
• Plan de Résistance ABCDEFUCK

C’est vrai que celui-ci en sait long sur vous. Des scientifiques affirment même pouvoir déterminer votre sexe simplement à partir de vos habitudes de navigation sur Internet.

Using your browser URL history to estimate gender

Cliquez sur le bouton et soyez patient, ça peut être long.

D’après lui, je suis un homme…

J’y ai repensé quand j’ai vu qu’aux USA, CableVision offrait 100Mbps à 99$ par mois (et AT&T offre 18Mb/s pour 80$ par mois).

La concurrence est reine pour tirer vers le bas les prix du haut débit (ADSL ou câble).

Comme avec bien d’autres clients BitTorrent, µTorrent ou uTorrent a tendance à avoir une configuration plutôt complexe. De nombreuses options, certaines passablement tordues, beaucoup d’entre elles avec un véritable impact sur la performance. Après des mois d’essais et de réglages fins, je pense avoir obtenu une configuration clairement optimisée pour télécharger simultanément plusieurs packages qui se comptent en giga-octets (vidéos/films, distributions Linux, bases de données complètes, etc.) sur une connexion ADSL rapide (20 Mbit/s, ici).

Alors, comme on me l’a suggéré, j’ai choisi de la partager avec tous ceux qui veulent essayer d’obtenir rapidement une connexion BitTorrent qui fonctionne aussi vite que possible.

Toutes les options

Aucun besoin de commenter le choix d’une langue (sauf pour dire que c’est un avantage certain de µTorrent que d’avoir un tel choix pour la localisation du programme).

Je n’ai pas installé le support IPv6 (mon FAI, free.fr, ne le supporte pas), mais il sera sans doute critique dans le futur -dès que disponible- pour ajouter une couche de compression et de camouflage afin de contourner les tentatives possibles de réduction de vitesse pour le trafic P2P par certains FAI (comme on le voit déjà parfois aux USA et au Canada ; honte à eux !).

Je n’aime pas recevoir d’invitation à des mises à jour beta (ma préférence va aux logiciels stables) et je préfère rester aussi anonyme que possible.

Comme je travaille chez moi, je n’ai pas besoin de la touche anti-Patron.

Téléchargement : je préfère pré-allouer la taille totale des fichiers (plutôt que de découvrir en cours de téléchargement que je n’ai plus de place sur le disque), et je ne souhaite pas voir mon PC s’arrêter tout seul pour économiser l’énergie. C’est un objectif louable, mais pas en plein milieu d’un transfert, ce qui obligerait à recommencer et… à consommer plus.

Il faut admettre que les options d’affichage relèvent exclusivement du goût de chacun. Voilà les miens, mais vous pouvez choisir autre chose sans impact sur la performance. Néanmoins, autorisez uTorrent à lancer les téléchargements automatiquement.

Si vous téléchargez beaucoup de fichiers BitTorrent, je vous conseille de vous organiser. Je mets tout dans un répertoire commun (C:\Download from Internet\ comme vous pouvez voir) et j’évite de déplacer les gros fichiers (même quand un transfert est fini). Par contre, je préfère renvoyer les fichiers torrents eux-mêmes dans un sous-répertoire séparé (C:\Download from Internet\Torrents) pour une gestion plus claire.

Pour simplifier, je télécharge tous les torrents dans le répertoire à cet effet (C:\Download from Internet\), ils y sont détectés, puis lancés, puis déplacés dans leur propre sous-répertoire (C:\Download from Internet\Torrents). Cela signifie que même si µTorrent ne tourne pas en arrière-plan, je peux télécharger les torrents dans le répertorie normal (comme tout) et ils seront pris en charge et reconnus au lancement de uTorrent.

Un petit avantage est que si je dépose un fichier torrent dans ce répertoire (même depuis une machine distante, quel que soit le moyen) les transferts P2P démarrent automatiquement. Il est facile d’écrire un petit script qui fera que le client mail va poser les éventuels torrents attachés dans ce répertoire. Un simple mail peut alors déclencher un transfert P2P à distance. Même un mail depuis un iPhone, par exemple. Cela devient du BitTorrent à distance pour iPhone.

Le port de connexion est alloué de manière aléatoire pour éviter les problèmes avec votre FAI. Simplement, assurez-vous que le même port est ouvert sur le firewall de votre routeur. Pour votre propre ordinateur, UPnP et NAT-PMP devraient s’occuper de tout pour optimiser votre réseau local et votre routeur.

N’autorisez pas le changement de port à chaque lancement. Cela mettrait une grouille noire dans la config du routeur et des firewalls.

Si possible, n’utilisez aucun proxy (cela coûterait cher en performance et le P2P-over-Proxy n’est pas forcément accepté par votre FAI – lisez votre contrat).

Cette page est certainement la plus importante du point de vue de la performance. Vous aurez peut-être envie d’utiliser la configuration automatique, mais j’ai observé qu’il était bon de le faire manuellement. D’abord, limitez l’émission à 80-90% de votre capacité remontante (vérifiez avec votre FAI). La petite marge donne toute la flexibilité et vous autorise à encore faire quelques autres choses (comme visiter Roumazeilles.net).

Lorsque les téléchargements sont finis, je limite un peu plus pour mon propre confort. Je l’admets mais ce n’est pas critique.

Le nombre de connexions doit être élevé. Comme j’ai 2Go (et maintenant 4Go) de mémoire RAM centrale sous WinXP, il ne devrait pas y avoir de raison de se limiter, mais autoriser plus de 1000 connexions impose à votre ordinateur de passer plus de temps à discuter avec les autres qu’à leur envoyer des données. Le ratio de 5:1 ou 6:1 entre les connexions et les clients aide à favoriser les peers/pairs efficaces et généreux (ceux qui fournissent le plus de vitesse de téléchargement).

D’un autre côté, je ne veux pas consacrer ma bande passante remontante à servir trop de clients P2P à la fois. 6, c’est bon. S’il y en a 1 ou 2 qui traînent, les 4 autres ont plus de possibilités. Ainsi, mon ordinateur envoie des données aussi vite que possible sans perdre trop de temps en négociations (pour l’essentiel, c’est « faites la queue » plutôt que « la porte est ouverte »).

DHT : Il vous faut le DHT ! C’est une très bonne méthode pour trouver plus de clients, pour les garder si le serveur s’écroule, pour augmenter la taille du groupe de partage (swarm) pour une vitesse maximale.

La recherche locale va dans le bon sens, mais elle n’apporte rien si vous n’avez pas d’autres utilisateurs BitTorrent sur votre réseau local (vous êtes dans une entreprise ? dans une fac ?). Ce n’est pas critique sur mon réseau local maison.

Autant que possible, je crypte mes communications. Cela ne garantit rien, mais cela réduit un peu les risques de voir mon FAI filtrer mes échanges P2P.

La, ne laissez pas uTorrent ajouter trop de torrents en même temps. En télécharger 3, 4, 5, 6 est OK. C’est bon pour pousser la vitesse au max, mais pas plus. Je préfère avoir des torrents qui finissent l’un après l’autre tous les jours que tous à la fin de la semaine.

Les valeurs par défaut ont l’air OK.

Je n’utilise pas le planificateur. On fonce ! C’est tout.
Je n’utilise pas le WebUI.
Les seuls paramètres Avancés qui valent la peine d’être modifiés sont :

Les paramètres Basic sont simplement… basiques.

Mais les autres peuvent être un peu plus importants.

Augmenter automatiquement la taille du cache de lecture peut devenir un problème quand vous n’avez presque plus de place sur le disque. Alors, je ne l’autorise pas (d’ailleurs ce n’est utile que dans des conditions extrêmes).

Alors que le cache Windows en écriture a l’air inutile ou inefficace, le cache Windows en lecture est important pour certains lecteurs de disque (en particulier si vous utilisez un disque USB externe).

Alors comme ça, avoir un ordinateur équivaut -pour notre gouvernement- à être un téléspectateur ?

C’est ce qu’il faut croire puisqu’il est sérieusement envisagé par la Direction générale de la comptabilité publique de Bercy (DGCP) [1] de changer un terrible état de fait : les ordinateurs modernes sont équipés de telle manière qu’ils peuvent recevoir la télévision et il faut changer une telle situation qui frise l’évasion fiscale ! [2]

Nous mais, vraiment ! Je ne regarde pas la télé, je n’ai pas la télé et ma source d’information se partage entre la radio en voiture et l’Internet à domicile. Nombre d’internautes sont comme moi [3]. Il est clair que cela relève du principe de la vache à lait : il suffit de la traire pour avoir du lait.

On avait vu la taxe sur les supports numériques qui finance les auteurs-compositeurs à hauteur des possibilités de stockage d’oeuvres audiovisuelles sur les organes de stockage, voilà la redevance sur ordinateur.

Probablement, d’ici peu, nous verrons la redevance audiovisuelle sur les consoles de jeu ou les téléphones portables. Les PDA sont en train de passer de mode, ils seront peut-être protégés. Allons ! Un peu de retenue. Ce n’est pas parce qu’il y a un microprocesseur dans un équipement qu’il faut condamner par avance son utilisateur pour copie illégale de données portégées par le droit d’auteur et pour fraude à la redevance.

N’oublions pas que les microprocesseurs sont présents dans à peu près tous les organes de notre vie quotidienne et que -de plus en plus- ils sont utilisés de manière ouverte [4][5] (donc détournable aux yeux de notre gouvernement et de son administration). Nous aurons bientôt une redevance audiovisuelle universelle. Mais cela revient à subventionner librement toutes sortes d’activités différentes à partir de n’importe quoi d’autre.

On n’est pas bien loin de la vignette auto pour financer les petits vieux. Quand toute logique est abandonnée, on en arrive à un simple impôt sans justification ce qui n’est pas dans la logique républicaine.