Mon UDM Pro (Ubiquiti Dream Machine Pro) fait très bien son travail de routeur/pare-feu à la maison. C’est le modèle V1, et sur cette première génération, les huit ports intégrés ne font pas du tout de PoE — aucune alimentation sur les ports réseau, pour quoi que ce soit. Pour alimenter mes points d’accès et autres équipements réseau en PoE, il fallait donc forcément passer par un switch dédié en complément. Plutôt que de prendre un petit switch PoE grand public, j’ai préféré voir plus large et délester complètement l’UDM Pro de la partie switching — et pour ça, direction Leboncoin.
Un lot de Catalyst 3750X pour 250 €
J’ai trouvé un vendeur qui se débarrassait d’un lot de trois Cisco Catalyst WS-C3750X, en version PoE, pour 250 € les trois — un excellent prix pour du matériel qui, neuf, valait plusieurs milliers d’euros à l’unité à sa sortie. C’est tout l’intérêt du matériel réseau d’entreprise d’occasion : une fois qu’une société renouvelle son parc, des switchs encore largement capables (gigabit, PoE, fonctions L3 avancées) se retrouvent sur le marché pour une fraction de leur prix neuf, alors qu’ils ont encore de belles années de service devant eux pour un usage personnel ou associatif.
Des trois, j’en ai gardé deux et donné le troisième à mon club de radio amateur, sur Angers — toujours utile pour un club qui gère son propre petit réseau, ses équipements de contrôle de répéteurs ou simplement besoin de ports PoE supplémentaires sans se ruiner.
StackWise : deux switchs, une seule unité logique
Les deux unités que j’ai gardées à la maison, je les ai stackées ensemble avec de vrais cordons StackWise — la technologie de stacking propriétaire de Cisco sur cette génération de Catalyst. Contrairement à un simple lien Ethernet entre deux switchs indépendants, StackWise relie les unités par une interconnexion dédiée à haut débit qui fusionne les deux boîtiers en une seule unité logique : une seule adresse IP de management, une seule configuration, un seul plan de contrôle à administrer, même si physiquement il y a toujours deux châssis empilés dans le rack.
Et puisque j’étais sur l’alimentation électrique haute disponibilité, je suis allé jusqu’au bout : les deux switchs sont aussi reliés par un cordon StackPower, le pendant électrique de StackWise. Ce câble permet aux deux alimentations de mutualiser leur budget électrique à travers le stack — utile en particulier pour le PoE : si une unité a besoin de plus de courant que ce que fournit sa propre alimentation, l’autre membre du stack peut compenser la différence, au lieu de la limiter strictement à sa propre alimentation.
La licence IP Services : passer du simple switch au routeur
Les Catalyst de cette génération se vendent avec plusieurs niveaux de licence logicielle Cisco IOS, qui débloquent progressivement les fonctions L3 : LAN Base pour du switching pur, IP Base pour du routage statique et quelques fonctions de base, et IP Services au sommet, qui ouvre l’accès aux protocoles de routage dynamique complets (OSPF, EIGRP…) et à l’ensemble des fonctions avancées de la plateforme. J’ai activé cette licence IP Services sur le stack — de quoi transformer mes deux 3750X en bien plus qu’un simple commutateur PoE.
Concrètement, ça m’a permis d’aller plus loin dans le délestage de l’UDM Pro : le serveur DHCP tourne maintenant directement à l’intérieur du stack, via la fonction DHCP native d’IOS, plutôt que par le serveur DHCP intégré d’Ubiquiti. L’UDM Pro n’a donc plus qu’à faire du routage et du pare-feu pur, pendant que toute la distribution réseau — switching PoE, attribution des adresses IP, et potentiellement du routage inter-VLAN si besoin un jour — est gérée par le stack Catalyst lui-même.
Dernière mise à jour IOS possible, via TFTP
Avec la licence IP Services, le stack fonctionne bien en véritable commutateur Layer 3, pas seulement en switch PoE évolué. J’ai profité de la remise en service pour chercher la dernière version d’IOS encore supportée sur la plateforme 3750X — ces switchs étant en fin de vie chez Cisco, il faut faire attention à prendre l’image correcte, la dernière réellement validée pour ce matériel plutôt qu’une version plus récente destinée à d’autres familles de Catalyst. La mise à jour s’est faite en TFTP, à l’ancienne, et s’est bien déroulée — avec tout de même un bon 45 minutes pour flasher les deux switchs du stack l’un après l’autre.
Et le DNS, avec Unbound sur une VM
Dernière brique du puzzle : le DNS. Plutôt que de laisser l’UDM Pro faire ce travail aussi, j’ai monté Unbound sur une VM dédiée — un résolveur DNS récursif et validant, qui répond lui-même aux requêtes DNS du réseau plutôt que de se contenter de relayer vers un résolveur tiers. Encore une fonction essentielle du réseau sortie de l’UDM Pro et confiée à un composant choisi et maîtrisé spécifiquement pour ce rôle.
Le résultat : tout désolidarisé de l’UDM Pro
Switching et PoE sur le stack Catalyst, DHCP embarqué dans ce même stack grâce à la licence IP Services, DNS sur Unbound dans sa propre VM : à la fin, l’UDM Pro ne fait plus que du routage et du pare-feu, et plus aucune fonction réseau critique ne dépend d’un seul boîtier. C’est un choix assez cohérent avec ma façon de voir l’auto-hébergement : je n’aime pas les solutions hybrides cloud, où une partie du fonctionnement de mon propre réseau local dépendrait, de près ou de loin, d’un compte ou d’un service tiers hébergé ailleurs. Avec DHCP et DNS désormais entièrement internes, le réseau continue de fonctionner intégralement même si l’UDM Pro — ou sa dépendance au cloud Ubiquiti — venait à poser problème un jour.