🛠 Exploiter le double Ethernet 2,5 GbE et sécuriser le SSH

Objetivos

Verificar los dos puertos Ethernet 2,5 GbE de la Orange Pi 5 Plus (dos controladores RTL8125BG conectados por PCIe — no hay puerto de 1 GbE en esta placa), medir el rendimiento real con iperf3, y luego configurar el acceso SSH por clave y desactivar la autenticación por contraseña. Bajo el kernel mainline (Armbian), los controladores son r8169 + firmware rtl_nic/rtl8125b-2.fw; las imágenes del fabricante utilizan el controlador externo Realtek r8125.

Hardware

• Orange Pi 5 Plus (se recomienda Armbian para este uso)
• 2 cables Ethernet Cat 5e como mínimo + switch o segunda máquina con 2,5 GbE
• Segunda máquina para iperf3; credenciales por defecto de las imágenes Orange Pi: orangepi/orangepi (¡cámbielas!)

Código completo

# 1. Identifier les deux ports (noms variables : end0/end1 ou eth0/eth1)
ip -br link
sudo ethtool end0 | grep -E 'Supported link|Speed|Link'   # 2500baseT/Full attendu
sudo dmesg | grep -iE 'r8169|r8125'                        # driver actif

# 2. Débit : serveur sur la machine peer, client sur l'Orange Pi
sudo apt install -y iperf3
iperf3 -s -p 5201                          # sur le peer
iperf3 -c 192.168.1.10 -p 5201 -P 4        # ~2,3-2,35 Gbit/s attendus par port

# 3. SSH par clé : générer sur le poste client, installer, verrouiller
ssh-keygen -t ed25519
ssh-copy-id orangepi@<ip-de-la-carte>
sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak
printf 'PasswordAuthentication no\nPermitRootLogin no\n' | sudo tee /etc/ssh/sshd_config.d/10-cle.conf
sudo sshd -t && sudo systemctl reload ssh

Verificación esperada

ethtool indica 2500baseT/Full en ambos puertos; iperf3 muestra aproximadamente 2,3 Gbit/s por puerto (la línea de 2,5 G solo se mide con un peer y un switch de 2,5 G). Tras la reconexión, ssh -o PubkeyAuthentication=no -o PasswordAuthentication=yes user@carte es rechazado (contraseña desactivada) mientras que la conexión por clave funciona.

Errores frecuentes

• Creer en un rendimiento acumulado: los dos puertos son independientes (cada RTL8125BG en su enlace PCIe 2.0); no agregue los dos puertos para «duplicar» el ancho de banda — un flujo único sigue limitado a 2,5 G.
• Cable Cat 5 o switch de 1 G: la negociación cae a 1000/100 Mbit/s, verifique Speed: en ethtool.
• Bloqueo sin conexión: mantenga siempre una sesión abierta y valide sshd -t antes de recargar; pruebe desde una segunda sesión.
• >