Probleme VPN entre deux ipcop dont un Vmware

[calamarz]

Bonjour,

Je tente actuellement de faire fonctionner ipcop 1.4.21 sous Vmware en VPN, mais impossible de monter le tunnel voici mon journal de log:

Code: Tout sélectionner

16:35:55 ipsec_setup ...Openswan IPsec stopped
16:35:55 ipsec_setup ipsec: Device or resource busy
16:35:55 ipsec_setup /usr/lib/ipsec/tncfg: Socket ioctl failed on detach -- No such device. Is the v irtual device valid? The ipsec module may not be linked into the kernel or load ed as a module.
16:35:54 pluto[726] shutting down interface ipsec0/eth1 91.121.39.xx
16:35:54 pluto[726] shutting down interface ipsec0/eth1 91.121.39.xx
16:35:54 pluto[726] forgetting secrets
16:35:54 pluto[726] shutting down
16:35:54 ipsec_setup Stopping Openswan IPsec...
16:35:29 pluto[726] packet from 77.74.211.xx:500: initial Main Mode message received on 91.121.39.xx :500 but no connection has been authorized with policy=PSK
16:35:29 pluto[726] packet from 77.74.211.xx:500: received Vendor ID payload [Dead Peer Detection]
16:35:29 pluto[726] packet from 77.74.211.xx:500: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t -ike-00]
16:35:29 pluto[726] packet from 77.74.211.xx:500: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t -ike-02]
16:35:29 pluto[726] packet from 77.74.211.xx:500: ignoring Vendor ID payload [draft-ietf-ipsec-nat-t -ike-03]
16:35:29 pluto[726] packet from 77.74.211.xx:500: received Vendor ID payload [RFC 3947]
16:35:24 ipsec__plutorun ...could not start conn "testphilippe"
16:35:24 ipsec__plutorun 021 no connection named "testphilippe"
16:35:24 ipsec__plutorun ...could not route conn "testphilippe"
16:35:24 ipsec__plutorun 021 no connection named "testphilippe"
16:35:24 pluto[726] loading secrets from "/etc/ipsec.secrets"
16:35:24 pluto[726] adding interface ipsec0/eth1 91.121.39.xx:4500
16:35:24 pluto[726] adding interface ipsec0/eth1 91.121.39.xx
16:35:24 pluto[726] listening for IKE messages
16:35:24 ipsec__plutorun ipsec_auto: fatal error in "testphilippe": %defaultroute requested but not known
16:35:24 pluto[726] OpenPGP certificate file '/etc/pgpcert.pgp' not found
16:35:24 pluto[726] Warning: empty directory
16:35:24 pluto[726] Changing to directory '/etc/ipsec.d/crls'
16:35:24 pluto[726] Warning: empty directory
16:35:24 pluto[726] Changing to directory '/etc/ipsec.d/cacerts'
16:35:24 pluto[726] ike_alg_register_enc(): Activating OAKLEY_SSH_PRIVATE_65289: Ok (ret=0)
16:35:24 pluto[726] ike_alg_register_enc(): Activating OAKLEY_TWOFISH_CBC: Ok (ret=0)
16:35:24 pluto[726] ike_alg_register_hash(): Activating OAKLEY_SHA2_512: Ok (ret=0)
16:35:24 pluto[726] ike_alg_register_hash(): Activating OAKLEY_SHA2_256: Ok (ret=0)
16:35:24 pluto[726] ike_alg_register_enc(): Activating OAKLEY_SERPENT_CBC: Ok (ret=0)
16:35:24 pluto[726] ike_alg_register_enc(): Activating OAKLEY_CAST_CBC: Ok (ret=0)
16:35:24 pluto[726] ike_alg_register_enc(): Activating OAKLEY_BLOWFISH_CBC: Ok (ret=0)
16:35:24 pluto[726] ike_alg_register_enc(): Activating OAKLEY_AES_CBC: Ok (ret=0)
16:35:24 pluto[726] including NAT-Traversal patch (Version 0.6)
16:35:24 pluto[726] including X.509 patch with traffic selectors (Version 0.9.42)
16:35:24 pluto[726] Starting Pluto (Openswan Version 1.0.10)
16:35:24 ipsec_setup ...Openswan IPsec started
16:35:24 ipsec__plutorun Starting Pluto subsystem...
16:35:24 ipsec_setup KLIPS ipsec0 on eth1 91.121.39.xx/255.255.255.255 broadcast 91.121.39.255 
16:35:24 ipsec_setup KLIPS debug `none'
16:35:24 ipsec_setup Starting Openswan IPsec 1.0.10...


Je précise que j'ai déjà des ipcops fonctionnels, il s'agit d'un test d'une installation d'ipcop sur une debian avec Vmware chez ovh

Voici le lien du post: http://forums.ixus.fr/viewtopic.php?t=42581

Si jamais vous avez une idée je reste preneur...

Merci

[Franck78]

" but no connection has been authorized with policy=PSK "

c'est un grand classique et google devrait te mettre sur la voie. J'ai un peu beaucoup oublié IPSEC.


L'autre message avec %defaultroute est aussi connu. De mémoire, 'pluto' ne trouve pas d'adresse IP correspondant à la gateway. En gros, pas de gateway définie dans la table de routage.


"ipsec barf"
aide pas mal au debug par comparaison avec un tube fonctionnel.

[calamarz]

Aie je pense que le probleme est plus complexe en effet :
Sur ma debian je declare une route pour IP publique (failover) vers l'interface vmnet1 correspondant a l'interface rouge de mon ipcop, interface modifiée directement dans le fichier de con /var/ipcop/ethernet/settings ou je fais ceci:
...
RED_ADDRESS=IPFAILOVER
RED_NETMASK=255.255.255.255
...
DNS1=213.186.33.102 (DNS1 OVH)
DNS2=212.27.32.132
DEFAULT_GATEWAY=IP Publique serveur debian
...

en plus sur mon ipcop j'ajoute une route :
route add default dev eth1 (red)

Ainsi j'ai acces au web et depuis le net je peux monitorer mon ipcop (port 4445) en revanche le tunnel ne monte pas.

Je continu mes recherches

Merci

[altapapoumos]

je sais que ton message date un peu !!
mais je me retrouve exactement avec le même problème .
machine virtuelle IPCop sous Proxmox et ajout des routes à la main.
tout fonctionne sauf le VPN avec message d'erreur au niveau routage.
as tu pu solutionner ton problème ?
merci

[Mister-Magoo]

Je suppose que c'est un VPN IPSec et pas OpenVPN.
Faut peut être creuser du coté du NAT-T, certains IPSec aiment pas trop ce genre de chose et souvent au niveau de VMWare, on mets des interfaces nattés..

Enfin, c'est juste une idée ...

[ccnet]

Ipsec, sans NAT-T ne supporte pas la translation d'adresse.
De plus encore un cas ou la virtualisation à tout va pose des problèmes et complexifie un sujet déjà pas très simple.

[Mister-Magoo]

Il faudrait, sur ta machine virtuelle, mettre des interfaces (au moins la rouge) en bridge sur une interface physique pour éviter le NAT.

Je n'utilise pas l'IPSec sur IPCop et je sais pas si le support NAT-T est prévu ou pas mais comme l'interface rouge est normalement directe ...

[altapapoumos]

Merci de votre aide à tous, je n'ai toujours pas réussi à m'en sortir :
Voici de quoi clarifier un peu ma configuration :

OS natif : proxmox V1.5 sur OVH serveur dédié
ex ip publique : 188.1.2.3

OS virtuel : Ipcop
2 cartes réseaux en mode bridge VMBR1
1ere : green ipcop (192.168.30.6)
2ème : red ipcop (ip failover)
ip failover : 178.1.2.3

Pour qu'ipcop ait accès au net :
ajout route add -host 178.1.2.3 vmbr1 dans proxmox

puis dans la machine ipcop :
Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
188.1.2.3 0.0.0.0 255.255.255.255 UH 0 0 0 eth1
178.1.2.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1
192.168.30.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
0.0.0.0 188.1.2.3 0.0.0.0 UG 0 0 0 eth1

activation du SSH
Modification des entrées firewall pour laisser passer les ports d’administration (web, ssh et https : 81, 222 et 5445)

A ce stade, l'ipcop est accessible depuis internet sur son ip failover
il est administrable par http, https et ssh (pas de souci)
une autre machine virtuelle sur l'interface green (192.168.30.x) est accessible via ipcop, les règles de redirection fonctionnent sans problème.

la seule chose qui ne fonctionne pas c'est dans les LOG VPN la création des route vers ipsec0

Aug 25 11:55:11 ipcop pluto[13709]: "vpn" #11: route-client output: /usr/lib/ipsec/_updown: `route add -net 192.168.2.0 netmask 255.255.255.0 dev ipsec0 gw 188.1.2.3' failed
Aug 25 11:55:11 ipcop pluto[13709]: "vpn" #11: route-client output: /usr/lib/ipsec/_updown: (incorrect or missing nexthop setting??)
Aug 25 11:55:11 ipcop pluto[13709]: "vpn" #11: route-client command exited with status 7

voilà, merci si vous avez des idées.
a+