comment customiser les ports de mon VPN

[hb]

ça peut paraitre tordu comme idée mais il faut bien s'adapter aux contextes ...

je voudrais monter un VPN entre IPCOP et un client qui est derriere un FW
seul certains port du FW sont ouverts et je dois faire avec
bien sur ceux pour du faire VPN sont fermés !!!
alors il faut que j'utilise ceux que l'on veut bien m'ouvrir.
comment puis je modifier mon IPCOP pour personnaliser les ports ?

LanClient0 - IPCOP1 - FW -Internet - IPCOP0 - LanClient0

ipcop1 sera configuré en client VPN
ipcop0 sera configuré en serveur VPN

j'ai deja monté ce type de config sans le FW au milieu, mais je ne trouve pas le fichier qui indique le ou les ports utilisé(s) par le VPN

j'ai monté la partie serveur qui pointe vers une IP bidon, donc il n'est pas actif (en ROUGE)
un petit
netstate -pulate
m'indique entre autre
31426/pluto
j'en conclu que le port 31426 m'est nécessaire ???

certains post parlent de port 500, 50, 51 ...
quel est le minimum vitale ?

Merci de votre aide

[vaneay]

Un VPN qui utilise IPsec comme freeS/WAN ( c'est le cas d'ipcop ), utilise les ports / protocoles suivants :

500 / udp <-- négociation et debut de session ISAKMP

protocole 51 ( dit protocole AH ) <-- encapsulation, cryptage et authentification des données du paquet IPSEC mais pas l'entête, ainsi on peut router ces paquets et les faire passer dans du NAT, DNAT, SNAT ...

protocole 50 ( dit protocole ESP ) <-- encapsulation, cryptage et authentification de tout le paquet IPSEC entetes comprises, attention l'utilisation du VPN avec de l'ESP ne permet pas de passer les firewall et les équipement modifiants les paquets (passerelles).

Voila donc

1) le seul port que tu peut choisir de modifier c'est l'udp 500 en effet le VPN peut écouter sur un autre port mais ce doit etre de l'udp !

2) dans tous les cas il faut que le firewall gere le passage du protocole AH (attention c'est un protocole !!! c'est pas un port !) et ça on peut pas le changer.

c'est un peu comme si vous demandier de changer du tcp en udp ou en gre ... autant dire que j'ai jamais vu ça.



Pour ceux qui ont des VPN qui passent les firewall car ils spécifient juste un port udp, c'est que ce n'est pas de l'ipsec STANDARD, en effect les clients VPN Cisco permettent de tout encapsuler dans des paquets udp, mais bon c'est lourd, c'est pas standard ( propriétaire ), et j'ai des doutes sur la sécurité de la chose.

[Gesp]

Tu as ipsecctrl qui applique les règles définies dans l'interface à IPtables

J'attire votre attention sur les dernières modifs qui sont ultérieures à la beta3
http://cvs.sourceforge.net/viewcvs.py/i ... r2=1.5.2.1

[hb]

Merci vaneay, j'avais pas approché le probleme comme toi, j'ai tendance à résumer IP à TCP/IP
j'ai l'impression que c'est pas gagné alors.

Gesp, j'ai pas trop compris "Tu as ipsecctrl qui applique les règles définies dans l'interface à IPtables"
tu veux dire qu'avec la b4 je pourrais obtenir ce que je veux ?

[Gesp]

Cela je ne sais pas.

Tout ce que je sais,c'est que ipsecctrl a été modifié pour ces raisons
http://marc.theaimsgroup.com/?l=ipcop-d ... 218669&w=2

et que restartsquid le sera certainement pour celles-là
http://marc.theaimsgroup.com/?l=ipcop-d ... 205529&w=2

[hb]

ça a l'air interessant tout ça faut que je regarde d'un peu plus pres, merci