Problème VPN

par **targa** » 05 Mai 2003 14:36

Bonjour, Après avoir suivi la doc sur le VPN j'ai quelques problèmes. Dans le fichier /var/log/secure j'obtiens : Changing to directory '/etc/ipsec.d/cacerts' May 5 11:48:17 ipcop pluto[2423]: Warning: empty directory May 5 11:48:17 ipcop pluto[2423]: Changing to directory '/etc/ipsec.d/crls' May 5 11:48:17 ipcop pluto[2423]: Warning: empty directory May 5 11:48:17 ipcop pluto[2423]: could not open my default X.509 cert file '/etc/x509cert.der' May 5 11:48:17 ipcop pluto[2423]: OpenPGP certificate file '/etc/pgpcert.pgp' not found May 5 11:48:18 ipcop pluto[2423]: | from whack: got --esp=3des May 5 11:48:18 ipcop pluto[2423]: | from whack: got --ike=3des May 5 11:48:18 ipcop pluto[2423]: added connection description "VPN" May 5 11:48:18 ipcop pluto[2423]: listening for IKE messages May 5 11:48:18 ipcop pluto[2423]: adding interface ipsec0/eth2 10.0.1.8 May 5 11:48:18 ipcop pluto[2423]: loading secrets from "/etc/ipsec.secrets" May 5 11:48:18 ipcop pluto[2423]: "VPN": cannot route Road Warrior template May 5 11:48:18 ipcop pluto[2423]: "VPN": cannot initiate connection without knowing peer IP address May 5 11:48:24 ipcop pluto[2423]: packet from 10.0.1.133:500: ignoring Vendor ID payload [MS NT5 ISAKMPOAKLEY 00000002] May 5 11:48:24 ipcop pluto[2423]: "VPN"[1] 10.0.1.133 #1: responding to Main Mode from unknown peer 10.0.1.133 May 5 11:48:24 ipcop pluto[2423]: "VPN"[1] 10.0.1.133 #1: OAKLEY_DES_CBC is not supported. Attribute OAKLEY_ENCRYPTION_ALGO Il y a beaucoup d'erreurs, non. Après un ping May 5 11:48:24 ipcop last message repeated 3 times May 5 11:48:24 ipcop pluto[2423]: "VPN"[1] 10.0.1.133 #1: no acceptable Oakley Transform May 5 11:48:24 ipcop pluto[2423]: "VPN"[1] 10.0.1.133 #1: sending notification NO_PROPOSAL_CHOSEN to 10.0.1.133:500 May 5 11:48:24 ipcop pluto[2423]: "VPN"[1] 10.0.1.133: deleting connection "VPN" instance with peer 10.0.1.133 May 5 11:48:25 ipcop pluto[2423]: packet from 10.0.1.133:500: ignoring Vendor ID payload [MS NT5 ISAKMPOAKLEY 00000002] May 5 11:48:25 ipcop pluto[2423]: "VPN"[2] 10.0.1.133 #2: responding to Main Mode from unknown peer 10.0.1.133 May 5 11:48:25 ipcop pluto[2423]: "VPN"[2] 10.0.1.133 #2: OAKLEY_DES_CBC is not supported. Attribute OAKLEY_ENCRYPTION_ALGO

par **targa** » 06 Mai 2003 10:40

Bonjour, excusez moi de revenir sur mon problème, mais je dois règler cette affaire rapidement. J'ai suivi la doc à le lettre, je dispose d'IPCOP 1.3 et mon poste client est Win2K. Dans le panneau de configuration du VPN je n'ai pas le statut de ma connexion au vert elle est tout le temps fermé, est ce normal. Quand je fais un ping derrière IPCOP, j'obtiens des Négociation de la sécurité IP. Faut il changer encore des paramètres ? Merci

par **tomtom** » 06 Mai 2003 10:44

Peux-tu decrire toute ton architecture ? Servveurs IPCop, methode de connexion du client, ip fixe/dynamiques, routeurs etc... Ce sera plus simpple pour t'aider ! Essaye d'être complet et prceis ! Thomas

par **targa** » 06 Mai 2003 10:57

Voila pour l'instant je fais des tests au sein de mon réseau interne. Mon réseau interne est en 10.0.1.0/24 sur lequel j'ai installé ma machine IPCOP qui possède une adresse 10.0.1.8. Derrière j'ai un réseau 10.0.3.0/24. Mon poste client distant se trouve sur mon réseau interne avec une adresse 10.0.1.133. Je souhaite réaliser une connection VPN entre mon poste client 10.0.1.133 vers le réseau derrière IPCOP 10.0.3.0. J'utilise IPCOP 1.3 avec la fixe 1.3.0 Configuration client : conn KDI left=10.0.1.8 leftsubnet=10.0.3.0/24 right=%any presharedkey=test network=auto auto=start pfs=yes configuration IPCOP : config setup interfaces=%defaultroute klipsdebug=none plutodebug=none plutoload=%search plutostart=%search uniqueids=yes conn %default keyingtries=0 conn VPN left=10.0.1.8 compress=no leftsubnet=10.0.3.0/24 leftnexthop=%defaultroute type=tunnel authby=secret pfs=yes right=%any rightsubnet=10.0.1.133/24 rightnexthop=%defaultroute auto=add J'ai fait la configuration par GUI. Je n'arrive pas à ouvrir ma connexion. Merci

par **tomtom** » 06 Mai 2003 11:03

Je suis perplexe..... Comment peut-on avoir un vpn alors qu'il n'y a pas de réseau intermediaire ??? Ca ne pourra pas marcher : avec ta config, le vpn devrait mettre une route vers le reseau 10.0.1.133/24 (c'est à dire le 10.0.1.0/24 !) alors que ce reseau est directement connecté ! Le VPN n'est pas fait pour ça !

par **targa** » 06 Mai 2003 11:43

Le but d'un VPN est de réaliser une connexion sécurisé entre 2 points peu importe ce qu'il y a entre les 2 points. On parle bien pour le wifi pour sécuriser la liaison de créer des tunnels VPN. Dite moi si je me trompe.

par **tomtom** » 06 Mai 2003 11:54

C'est pas le problème.. Ici, tu as une route pour le réseau 10.0.1.0/24 qui devra etre dans le VPN (puisque tu dis que c'est le bout du tunnel), alors que le tunnel est defini lui-même sur le réseau 10.0.1.0 !!! Vers ou doivent être routés les paquets ? comment veux-tu qu'il s'y retrouve ? Il faut que tu changes de réseau au moins ! Thomas

par **antolien** » 06 Mai 2003 11:57

un vpn, c'est un tunnel crypté qui rejoins deux réseaux avec des plages d'ip différentes. ensuite le tunnel fait partie d'un réseau encore différent et en général public. [reseau1]--[SVPN]===tunnel_crypté===[SVPN]--[reseau2] SVPN= serveur vpn le tunnel_crypté doit être sur un réseau intermédiaire, dans le cas contraire, le routage ne pourra pas se faire, et le tunnel ne pourra pas être établi.

par **targa** » 06 Mai 2003 11:58

Donc il faut que je mette mon poste client sur une réseau différent 10.0.2.1, par exemple.

par **tomtom** » 06 Mai 2003 12:08

merci Antolien j'ai parfois du mal à m'exprimer clairement... Il me semblait pourtant <IMG SRC="images/smiles/icon_wink.gif"> Thomas

par **antolien** » 06 Mai 2003 12:12

désolé j'avais pas vu ta réponse, j'ai mis au moins 15 minutes à taper le message car je faisait autre chose en même temps. mais ton message était très clair <IMG SRC="images/smiles/icon_wink.gif">

par **tomtom** » 06 Mai 2003 12:15

N'empeche que tout le monde a compris le tien et pas le mien <IMG SRC="images/smiles/icon_bawling.gif"> <IMG SRC="images/smiles/icon_bawling.gif"> Quel talent ! <IMG SRC="images/smiles/icon_smile.gif"> Mais ce n'etait pas ironique, tu as très bien fait de reformuler car il vaut toujours mieux avoir plusieurs "visions" d'un sujet pour mieux l'assimiler <IMG SRC="images/smiles/icon_smile.gif"> <IMG SRC="images/smiles/icon_bise.gif"> Thomas

par **targa** » 06 Mai 2003 12:22

Les 2 étaient clairs, merci de votre aide. Encore une question comment fonctionne l'interface VPN sous IPCOP. Est ce que le voyant d'état doit etre au vert quand il n'y aucune connexion ?

par **ONC** » 07 Mai 2003 10:50

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-05-06 12:22, targa a écrit: Les 2 étaient clairs, merci de votre aide. Encore une question comment fonctionne l'interface VPN sous IPCOP. Est ce que le voyant d'état doit etre au vert quand il n'y aucune connexion ? </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Le voyant d'etat est vert dès l'instant ou le VPN est activé... Peu importe que les clients communiquent ou pas. Ce voyant ne sert donc qu'a savoir si le tunnel entre les 2 serveurs VPN a bien été établit. Attention : il reste vert même s'i l'un des serveurs VPN tombe.... :'( Pour etre sur que le tunnel est ok, il faut donc vérifier le voyant vert des 2 serveurs VPN.

Problème VPN

Qui est en ligne ?