ipcip 1.3 VPN et route IP

par **poudre** » 20 Jan 2004 11:37

Bonjour, j'utilise actuellement une machine Linux IPcop 1.3 patch 6 comme Firewall pour un réseau 192.168.1.0 /24 la machine IPcop possède deux cartes réseau et deux adresses ip fixes une privé l'autre Colt. Sur cette machine est configuré un VPN pour permettre à un ou plusieurs PCs de venir se connecter sur le réseau privé 192.168.1.0/24 depuis l'extérieurs ce ou ces PC possèdent une adresse IP fixe Internet (FREE). Le firewall IPcop est configuré de manière à laisser passer une connexion SSH depuis les adresses des PCs extérieurs ceci afin de prendre la main sur la machine IPcop en cas de pb sur le VPN. Maintenant mon soucis (autrement cela ne serait pas drôle). Après un reboot de la machine IPcop pas de problème il est tout a fait possible de se connecter depuis les PCs extérieurs via SSH sur le Firewall. Maintenant à partir d'un PC extérieur on active la connexion VPN vers le réseau privé. A ce moment la connexion via SSH, si elle est active, tombe ce qui est normal vu que les routes IP viennent de changer à cause de l'activation du VPN. On peut donc reprendre la main via SSH sur la machine IPcop mais en passant par le VPN vers l'adresse privé de la machine IPcop. Maintenant on ferme le VPN depuis le PC extérieur (ipsec -off) et c'est la que cela ne va plus j'ai un problème de route qui reste positionnées sur la machine IPcop du genre: # route -n Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 81.57.163.120 62.23.48.122 255.255.255.255 UGH 0 0 0 ipsec0 81.57.163.120 est l’adresse fixe du pc extérieur. 62.23.48.122 est la route par défaut du Firewall et donc plus moyen de prendre la main comme au début depuis le pc extérieur via SSH sur l'adresse publique du firewall IPcop. Quelqu'un aurait il une idée sur comment éliminer cette route au moment de la fermeture du VPN ? Merci Pascal.

par **belugha** » 20 Jan 2004 11:46

A mon avis c'est normal car tu fais tomber le service en faisant ipsec -off pas la VPN. Essaye plutôt la commande : # ipsec auto --down lenomVPN <IMG SRC="images/smiles/icon_wink.gif">

par **poudre** » 20 Jan 2004 12:20

Bonjour Belugha Certainement vrai ta réponse, mais je fais tomber le vpn du coté de la machine Windows2000 pas du coté IPcop, donc pas de prompt #, mais juste deux ou trois parametre possibles comme: Microsoft Windows 2000 [Version 5.00.2195] (C) Copyright 1985-2000 Microsoft Corp. c:program filesresource kit>ipsec -help IPSec Version 2.2.0 (c) 2001-2003 Marcus Mueller Getting running Config ... Microsoft's Windows 2000 identified Usage: Ipsec [-off] [-delete] [-debug] [-nosleep] Ce qui ne laisse pas beaucoup de choix... Pascal.

par **belugha** » 20 Jan 2004 12:26

Peut être une question idiote que je vais te poser mais si tu es connecté via ssh, tu es en mode console sur Ipcop à partir de ton Win 2000, non ? <IMG SRC="images/smiles/icon_confused.gif">

par **poudre** » 20 Jan 2004 12:46

Exact, je peux donc essayer de scier la branche sur laquelle je suis assis ( j'y ai pensé après ma première réponse), mais cela ne fonctionne quand même pas, la route est toujours présente après avoir lancé ta commande . Pascal.

par **belugha** » 20 Jan 2004 12:55

Bon ben alors la seule méthode qu'il me reste c'est # route del xx.xx.xx.xx sur la console Ipcop <IMG SRC="images/smiles/icon_wink.gif">

par **tomtom** » 20 Jan 2004 13:28

extrait de la manpage de ipsec : "Normally, pluto's route to a destination remains in place when a --down operation is used to take the connection down (or if connection setup, or later automatic rekeying, fails). This permits establishing a new connection (perhaps using a different specification; the route is altered as necessary) without having a ``window'' in which packets might go elsewhere based on a more general route. Such a route can be removed using the --unroute operation (and is implicitly removed by --delete)." ca parait clair.. La bonne reponse est donc : ipsec auto --delete lenomVPN tu pourrais utiliser --unroute, mais evidemment... tu perds la connexion, et le vpn reste up <IMG SRC="images/smiles/icon_wink.gif"> t.

par **poudre** » 20 Jan 2004 15:11

Merci tomtom et belugha Effectivement la commande ipsec auto --delete VPNname fonctionne, elle detruit la route mais peut être aussi le VPN je verifierai depuis chez moi ce soir. il est vrai que si cette commande est trop violente il me reste route del.. Pascal.

ipcip 1.3 VPN et route IP

Qui est en ligne ?