Impossible de passer le protocole GRE sur un netasq F50

[davtheultimate]

bonjour je dispose d'un netasq F50, et dans les logs de connexion pour établir un VPN, je ne vois jamais le protocol GRE passé. De plus dans la configuration des objets, ensuite onglets service. Je vois écrit le protocole GRE et sur sa droite un icone 'sens interdit' , il y a d autre protocol marqué ainsi.

Alors quelqu'un a t il une idée ?


Merci

[jultoz]

Salut,


Tu veux faire un VPN avec le F50 ou tu veux faire un VPN à travers le F50 ?

Essaye de te mettre en pass all le temps de tes test.

Sinon, dans le filtrage tu dois laisser passer le protocole tcp 1723 je crois (regarde dans les objets services) et le protocole GRE.

Pour avoir plus de détails, connectes toi en SSH, et sur l'interface concerné par le tunnel PPtP, tapes la commande :


tcpdump -i ng0 (pour une interface dialup) port 1723

ou

tcpdump -i ng0 gre

Et là tu devrais voir des choses.

Tiens moi au courant

[davtheultimate]

Mon F50 est derriere un routeur Cisco connecté lui même au modem. Le routeur est chargé de renvoyé les paquets 1723 et GRE à mon serveur interne derriere le Firewall ce qu'il fait lorsque je fais un show ip nat translations sur celui-ci.

Donc c est mon netasq qui récupère ces paquets. il voit bien une demande de connection PPTP passée vers l'adresse interne. Il laisse passer, le client du VPN voit alors sur son screen vérification login et mot de passe. Puis au bout de 15 seconde, le serveur distant a fermé la connection.

Et dans mon rapport de log de connection dans le firewall. Pas de protocol GRE. J'ai enfin utilisé Ethereal pour ce qui arrivait directement sur le serveur VPN et toujours pas de protocol GRE. Mon Firewall est le problème. Lorsque je met en Pass all ca ne change rien.

Alors faut-il le mettre à jour ou l enlever ou je sais pas c'est quand meme dingue ce pb

aider moi

SVP

[jultoz]

Les protocoles utilisés dans le cadre d'un VPN (ESP ou AH pour Ipsec et GRE pour PPTP) ne sont pas analysés par l'ASQ. Ils sont donc par défaut bloqués par ce dernier, lorsque le Firewall n'en est pas le destinataire ou l'émetteur.

Il est cependant possible de l'autoriser en configurant l'alarme correspondante à "passer" .
L'alarme peut être de deux formes : "protocole IP non analysé" ou "protocole IP inconnu".


Voilà, vraiment désolé pour le retard, mais bon, j'ai aussi un boulot !!