Proxy pour appareils IoT : comment configurer des caméras intelligentes et des robots aspirateurs via le routeur

Les caméras intelligentes, les robots aspirateurs, les thermostats et d'autres appareils IoT se connectent constamment à Internet — et pas toujours là où vous vous y attendez. La configuration d'un proxy au niveau du routeur permet de contrôler tout le trafic sortant des appareils intelligents, de masquer l'adresse IP réelle du réseau et de contourner les restrictions régionales sans installer de logiciel sur l'appareil lui-même. Dans cet article, nous allons examiner pourquoi cela est nécessaire, quels proxies conviennent et comment tout configurer étape par étape.

Pourquoi les appareils IoT ont besoin d'un proxy

La plupart des utilisateurs ne se rendent même pas compte de l'endroit où leurs appareils intelligents "appellent à la maison". Pourtant, les robots aspirateurs chinois Roborock, Dreame, Xiaomi envoient régulièrement des cartes des pièces et des données sur les itinéraires vers les serveurs du fabricant. Les caméras IP Hikvision, Dahua, Reolink se connectent à des services cloud pour une visualisation à distance. Les prises intelligentes, les ampoules et les thermostats se synchronisent avec des serveurs étrangers.

Un serveur proxy configuré au niveau du routeur résout plusieurs problèmes :

• Masque l'adresse IP réelle de votre réseau — le fabricant de l'appareil voit l'IP du proxy, et non votre adresse domestique.
• Contourne les géoblocages — certaines fonctionnalités des appareils intelligents ne sont disponibles que dans certains pays. Un proxy avec la géolocalisation appropriée ouvre l'accès à l'ensemble des fonctionnalités.
• Contrôle le trafic sortant — vous voyez avec quels serveurs chaque appareil se connecte.
• Protège contre la surveillance — particulièrement pertinent pour les caméras et les appareils avec microphones.
• Permet de tester le comportement des appareils — utile pour ceux qui surveillent des maisons intelligentes ou vendent du matériel IoT.

Un scénario distinct est l'utilisation commerciale. Si vous gérez un réseau de plusieurs bureaux ou entrepôts avec du matériel IoT (caméras de surveillance, capteurs, serrures intelligentes), un proxy via le routeur permet de gérer de manière centralisée les adresses IP de toute l'infrastructure. C'est pratique tant pour la sécurité que pour l'administration.

Quel type de proxy choisir pour les appareils intelligents

Tous les types de proxy ne conviennent pas de la même manière aux appareils IoT. Examinons les options et leur applicabilité aux appareils intelligents :

Pour la plupart des tâches avec des appareils domestiques intelligents, le choix optimal est des proxies résidentiels. Ils possèdent des adresses IP réelles d'utilisateurs domestiques, ce qui signifie un risque minimal de blocage par les services cloud du fabricant. Lorsque votre caméra intelligente se connecte à Internet via une IP résidentielle, pour le serveur du fabricant, cela ressemble à un utilisateur domestique ordinaire.

Si l'objectif est de contourner un blocage régional strict (par exemple, débloquer des fonctionnalités d'un appareil intelligent disponibles uniquement aux États-Unis ou en Europe), envisagez des proxies mobiles — ils possèdent des IP d'opérateurs mobiles et ne sont pratiquement jamais mis sur liste noire.

Pour les tâches de surveillance, de test de l'infrastructure IoT ou de travail avec des appareils qui n'ont pas de vérifications strictes, les proxies de centres de données conviennent — ils offrent une haute vitesse et stabilité à un coût inférieur.

Comment configurer un proxy via le routeur : instructions étape par étape

La configuration d'un proxy sur le routeur est le seul moyen de couvrir tous les appareils IoT du réseau sans avoir à configurer chacun d'eux séparément. Examinons quelques scénarios populaires.

Option 1 : Routeurs avec firmware OpenWRT / DD-WRT

C'est l'option la plus flexible. Les firmwares OpenWRT et DD-WRT prennent en charge l'installation de paquets supplémentaires, y compris des clients proxy. Si votre routeur prend en charge l'un de ces firmwares (ASUS, TP-Link, Netgear et bien d'autres), vous obtenez un contrôle total sur le trafic.

Étape 1. Accédez à l'interface web du routeur. L'adresse est généralement 192.168.1.1 ou 192.168.0.1.

Étape 2. Allez dans la section Système → Logiciel (dans OpenWRT) ou Administration → Commandes (dans DD-WRT).

Étape 3. Installez le paquet redsocks — c'est un utilitaire pour le proxy transparent du trafic via SOCKS5 ou HTTP proxy.

opkg update
opkg install redsocks

Étape 4. Éditez le fichier de configuration /etc/redsocks.conf. Indiquez les données de votre serveur proxy :

base {
  log_debug = off;
  log_info = on;
  daemon = on;
  redirector = iptables;
}

redsocks {
  local_ip = 0.0.0.0;
  local_port = 12345;
  ip = VOTRE_IP_PROXY;
  port = VOTRE_PORT;
  type = socks5;
  login = "VOTRE_LOGIN";
  password = "VOTRE_MOT_DE_PASSE";
}

Étape 5. Configurez iptables pour rediriger le trafic via redsocks. Vous pouvez rediriger tout le trafic ou seulement celui de certaines adresses IP (par exemple, seulement l'IP de votre caméra) :

# Redirection du trafic d'un appareil spécifique (IP de la caméra : 192.168.1.50)
iptables -t nat -A PREROUTING -s 192.168.1.50 -p tcp -j REDIRECT --to-ports 12345

# Ou redirection de tout le trafic du réseau (sauf le routeur lui-même)
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 12345
iptables -t nat -A PREROUTING -p tcp --dport 443 -j REDIRECT --to-ports 12345

Étape 6. Démarrez redsocks et ajoutez-le au démarrage automatique :

/etc/init.d/redsocks start
/etc/init.d/redsocks enable

Option 2 : Routeurs ASUS avec firmware Merlin

Le firmware Asuswrt-Merlin (pour les routeurs ASUS de la série RT) prend en charge les scripts et permet de configurer un proxy via le gestionnaire intégré. Le principe est le même — installation de redsocks ou d'un outil similaire via le gestionnaire de paquets Entware, qui s'intègre à Merlin.

Procédure : connectez une clé USB au routeur → installez Entware via la section Administration → Scripts → installez redsocks via opkg → configurez le fichier de configuration de manière similaire à l'exemple ci-dessus.

Option 3 : Raspberry Pi comme passerelle proxy

Si votre routeur ne prend pas en charge les firmwares personnalisés, vous pouvez utiliser un Raspberry Pi comme passerelle intermédiaire. Le Raspberry Pi se connecte entre le routeur et les appareils, faisant passer le trafic par le proxy. C'est une solution plus flexible qui ne nécessite pas de modification du firmware du routeur.

Sur le Raspberry Pi, la même combinaison est installée : redsocks + iptables. Les appareils IoT se connectent au réseau via le Raspberry Pi, qui proxy automatiquement leur trafic.

Caméras intelligentes : caractéristiques de configuration et risques

Les caméras IP sont parmi les appareils IoT les plus "bavards". Elles maintiennent constamment une connexion avec des serveurs cloud pour un accès à distance, envoient des notifications de mouvement, synchronisent les enregistrements. Les modèles populaires incluent Hikvision, Dahua, Reolink, Xiaomi Mi Camera, Ezviz, TP-Link Tapo.

Les principaux scénarios d'utilisation d'un proxy pour les caméras intelligentes :

• Masquer l'adresse IP réelle de l'objet surveillé — important pour les objets d'entreprise et les particuliers qui ne souhaitent pas révéler leur emplacement.
• Accès aux fonctionnalités bloquées dans la région — certains services cloud des caméras ne fonctionnent que dans certains pays.
• Surveillance de plusieurs objets via un proxy unique — pratique pour les entreprises de sécurité gérant des caméras sur différents sites.
• Protection contre les attaques DDoS sur les caméras IP — l'IP réelle est masquée par le proxy.

Pour les caméras utilisant le protocole RTSP (la plupart des Hikvision et Dahua), le proxy au niveau du routeur fonctionne correctement — RTSP est transmis via TCP. Pour les caméras P2P (Xiaomi, Ezviz, TP-Link Tapo), la situation est plus complexe : elles utilisent des protocoles propriétaires, dont certains fonctionnent via UDP.

Conseil pratique : si vous devez masquer l'IP pour le trafic de gestion de la caméra (paramètres, notifications, synchronisation cloud), le proxy via le routeur fera le travail. Si vous devez proxy tout le flux vidéo — envisagez un VPN comme complément au proxy.

Robots aspirateurs et autres gadgets intelligents

Les robots aspirateurs sont un cas particulier parmi les appareils IoT. Des modèles comme Roborock série S, Dreame série L, Xiaomi Mi Robot, Ecovacs Deebot utilisent activement le cloud pour stocker des cartes des pièces, mettre à jour les firmwares et synchroniser les paramètres. Toutes ces données sont envoyées aux serveurs du fabricant — généralement en Chine.

Un proxy via le routeur permet de :

• Masquer l'IP réelle et l'emplacement du fabricant
• Débloquer des fonctionnalités non disponibles dans votre région (par exemple, certaines commandes vocales ou intégrations)
• Surveiller avec quels serveurs l'appareil se connecte
• Bloquer les connexions indésirables (via une combinaison de proxy et de pare-feu)

Une logique similaire s'applique à d'autres appareils intelligents :

HTTP vs SOCKS5 : que choisir pour l'IoT

Lors de la configuration d'un proxy pour les appareils IoT via le routeur, vous serez confronté au choix du protocole. Voici ce qu'il faut savoir :

Proxy HTTP/HTTPS

Fonctionne uniquement avec le trafic web (ports 80 et 443). Convient aux appareils qui communiquent avec le cloud uniquement via des requêtes HTTP. Avantage — simplicité de configuration et possibilité d'analyser le trafic au niveau du proxy. Inconvénient — ne prend pas en charge les ports et protocoles non standards utilisés par certains appareils IoT.

Proxy SOCKS5

Fonctionne à un niveau inférieur et prend en charge toutes les connexions TCP sur tous les ports. Cela rend SOCKS5 le choix préféré pour les appareils IoT, car ils utilisent souvent des ports non standards et des protocoles propriétaires au-dessus de TCP. Redsocks, que nous avons mentionné ci-dessus, fonctionne justement avec SOCKS5.

Sécurité et contrôle du trafic du réseau intelligent

La configuration d'un proxy n'est qu'une partie du travail pour assurer la sécurité du réseau IoT. Pour une protection complète, il est recommandé d'adopter une approche globale.

Segmentation du réseau

Séparez les appareils IoT dans un sous-réseau distinct (VLAN). C'est une pratique de sécurité standard : si l'un des appareils est compromis, l'attaquant n'aura pas accès au réseau principal avec les ordinateurs et les smartphones. La plupart des routeurs modernes (ASUS, TP-Link, Mikrotik) prennent en charge les VLAN via l'interface web.

Surveillance des connexions sortantes

Après avoir configuré le proxy, utilisez des outils de surveillance pour analyser le trafic des appareils IoT. Sur OpenWRT, un paquet tcpdump est disponible pour capturer des paquets et ntopng pour la surveillance visuelle. Cela vous permettra de voir avec quels serveurs vos appareils se connectent et de bloquer les connexions indésirables si nécessaire.

Listes blanches et noires d'IP

En utilisant iptables en combinaison avec le proxy, vous pouvez créer une liste blanche d'adresses IP autorisées pour chaque appareil. Par exemple, votre caméra Reolink doit se connecter uniquement aux serveurs Reolink — tout le reste est bloqué. C'est une protection efficace contre les connexions inattendues et les vulnérabilités potentielles du firmware.

Authentification sur le proxy

Utilisez un proxy avec un identifiant et un mot de passe — cela empêche l'utilisation non autorisée du serveur proxy par d'autres appareils ou personnes qui pourraient accéder à votre réseau. Tous les fournisseurs de proxy sérieux prennent en charge l'authentification par identifiant/mot de passe ou par adresse IP.

Problèmes fréquents et comment les résoudre

Lors de la configuration d'un proxy pour les appareils IoT via le routeur, vous pouvez rencontrer plusieurs problèmes typiques. Voici les plus courants et leurs solutions :

Problème 1 : L'appareil ne se connecte pas au cloud après la configuration du proxy

Cause : L'appareil utilise le certificate pinning — la vérification du certificat SSL, qui empêche le fonctionnement via un proxy transparent avec substitution de certificats.

Solution : Utilisez un proxy transparent sans inspection SSL (redsocks en mode socks5 sans interception TLS). L'appareil fonctionnera via le proxy, mais le contenu du trafic restera chiffré — c'est normal pour les tâches de masquage d'IP.

Problème 2 : Latence élevée lors de l'utilisation via le proxy

Cause : Le serveur proxy est géographiquement éloigné des serveurs du fabricant de l'appareil.

Solution : Choisissez un proxy avec une géolocalisation proche des serveurs du fabricant. Par exemple, pour les appareils chinois (Xiaomi, Roborock), utilisez un proxy à Hong Kong ou à Singapour. Pour les appareils américains (Amazon, Google) — un proxy aux États-Unis.

Problème 3 : Le proxy fonctionne, mais le trafic UDP n'est pas proxifié

Cause : Redsocks et la plupart des proxies SOCKS5/HTTP ne fonctionnent qu'avec TCP.

Solution : Pour les appareils utilisant UDP (certaines caméras, enceintes intelligentes), ajoutez un tunnel VPN au proxy (WireGuard ou OpenVPN sur le routeur). Le VPN assure le proxy du trafic UDP, et utilisez le proxy SOCKS5 pour TCP.

Problème 4 : Après le redémarrage du routeur, les règles iptables sont réinitialisées

Cause : Les règles iptables ne sont pas automatiquement sauvegardées dans la plupart des systèmes.

Solution : Sauvegardez les règles avec iptables-save et ajoutez leur restauration dans un script de démarrage automatique. Dans OpenWRT, utilisez le fichier /etc/firewall.user pour des règles permanentes.

# Sauvegarde des règles iptables (systèmes basés sur Debian/Ubuntu)
iptables-save > /etc/iptables/rules.v4

# Restauration au démarrage
iptables-restore < /etc/iptables/rules.v4

Problème 5 : Le serveur proxy refuse les connexions du routeur

Cause : Le proxy est configuré pour l'authentification par IP, et l'IP du routeur n'est pas ajoutée à la liste blanche.

Solution : Ajoutez l'IP du routeur à la liste blanche chez le fournisseur de proxy, ou utilisez l'authentification par identifiant/mot de passe dans la configuration de redsocks (paramètres login et password dans la config).

Conclusion et recommandations

La configuration d'un proxy pour les appareils IoT via le routeur n'est pas une tâche difficile pour ceux qui sont prêts à passer une heure à la configurer, mais le résultat en vaut la peine. Vous obtenez un contrôle total sur les données que vos appareils intelligents envoient et où, masquez l'IP réelle du réseau et contournez les restrictions régionales si nécessaire.

Résumons les points clés :

• Les appareils IoT ne peuvent pas être configurés directement — le proxy est configuré sur le routeur
• L'outil redsocks + iptables — solution standard pour OpenWRT/DD-WRT/Merlin
• SOCKS5 est préférable à HTTP pour l'IoT en raison de la prise en charge des ports non standards
• Pour le trafic UDP (certaines caméras), un VPN est nécessaire en complément du proxy
• Segmentez les appareils IoT dans un VLAN distinct pour une sécurité accrue
• Choisissez un proxy avec une géolocalisation proche des serveurs du fabricant de l'appareil

Si votre objectif est de masquer l'IP réelle des appareils intelligents et d'assurer une confiance maximale de la part des services cloud du fabricant, nous vous recommandons d'envisager des proxies résidentiels — ils utilisent des IP réelles d'utilisateurs domestiques et ne suscitent pratiquement aucun soupçon auprès des serveurs des fabricants d'appareils IoT.