MNF / VPN

[manahune]

Bonjour à tous, <BR> <BR>J'ai installé la MNF fin Décembre, elle marche nickel chrome ! <BR>Ma config est la suivante : <BR> <BR>--------LAN , IP RFC1918, --------- <BR> | <BR> | <BR> | <BR> ------ <BR> | | <BR> |MNF|----------DMZ en RFC 1918 <BR> | | <BR> ------- <BR> | <BR> | <BR> | <BR>INTERNET PAR LL chez ISP <BR> <BR>Le Lan et la DMZ sont en adresse privées conforme à la RFC 1918. <BR>Je dispose de 32 IP publiques délivrées par mon ISP. <BR>Lan -> Eth0 <BR>Wan -> Eth1 <BR>DMZ -> Eth2 <BR> <BR>Je masque le Lan sur Eth1 <BR>Je fait du NAT statique pour le serveur en DMZ avec une ip disponible parmi mes 32. <BR> <BR>Tout ca marche sans soucis ! <BR>J'ai meme monté une autorite de certification pour faire de la signature electronique en Interne !! <BR> <BR>Par contre le souhaiterais faire du VPN, ie permettre à des utilisateur nomades sous W2K ou WXP, connecte à Internet par leur ISP, de se connecter au Lan, en s'authentifiant par des certificats X509. <BR> <BR>J'ai suivi toutes les docs possibles et imaginables, je n'y arrive pas . <BR>J'ai donc essaye de dégrader l'authentification en utilisant un preshared secret .. Pas mieux. <BR> <BR>Est ce que quelqu'un à déjà reussi à mettre en place une telle architecture ??? <BR> <BR>Merci de votre soutien . <BR> <BR>M.

[Jacques-]

Jamais mis en service encore, mais en recherchant pour mettre en place stunnel, j'ai trouvé ce site, il peut peut-être t'aider : <BR><!-- BBCode auto-link start --><a href="http://www.decaservices.com/docs/securite/vpn/freeswan.html" target="_blank">http://www.decaservices.com/docs/securite/vpn/freeswan.html</a><!-- BBCode auto-link end --> <BR> <BR>C'est un exemple commenté de gestion entre Linux et Windows avec la création des certificats et tout... <BR> <BR>Jacques

[louis]

Bonjour, <BR> <BR>Je viens juste de réusir (après plusieurs jours) à mettre en place un VPN entre mon réseau d'entreprise et un client sous Windows XP. <BR> <BR>Après bien des déboires, j'ai laissé tomber la génération de certificat par MNF et j'ai tout généré manuellement (voir site : <!-- BBCode auto-link start --><a href="http://www.natecarlson.com/linux/ipsec-x509.php" target="_blank">http://www.natecarlson.com/linux/ipsec-x509.php</a><!-- BBCode auto-link end --> - attention ssl dans /usr/lib/ssl). <BR> <BR>Ca marche alors bon courage.

[manahune]

Est ce que tu as utilisé le freeSwan tel qu'installé par la MNF ? Ou alors as tu reisntaller le FreesWan et le patch X509 ??? <BR> <BR>J'utilise le freeswan de la MNF et ca ne veut pas marcher ... J'ai des messages : <BR> <BR>Feb 10 18:25:10 lig Pluto[12262]: "roadwarrior" <IP_Provider> #3: responding to Main Mode from unknown peer <IP_Provider> <BR>Feb 10 18:25:11 lig Pluto[12262]: "roadwarrior" <IP_Provider> #3: encrypted Informational Exchange message is invalid because it is for incomplete ISAKMP SA <BR>Feb 10 18:25:12 lig Pluto[12262]: "roadwarrior" <IP_Provider> #3: encrypted Informational Exchange message is invalid because it is for incomplete ISAKMP SA <BR>Feb 10 18:25:21 lig Pluto[12262]: "roadwarrior" <IP_Provider> #3: ignoring informational payload, type INVALID_COOKIE <BR>Feb 10 18:25:21 lig Pluto[12262]: "roadwarrior" <IP_Provider> #3: received and ignored informational message <BR>Feb 10 18:25:37 lig Pluto[12262]: packet from <IP_Provider>:500: ignoring Vendor ID payload <BR>Feb 10 18:25:37 lig Pluto[12262]: "roadwarrior" <IP_Provider> #4: responding to Main Mode from unknown peer <IP_Provider> <BR>Feb 10 18:25:37 lig Pluto[12262]: "roadwarrior" <IP_Provider> #4: regenerating DH private secret to avoid Pluto 1.0 bug handling public value with leading zero <BR>Feb 10 18:25:38 lig Pluto[12262]: "roadwarrior" <IP_Provider> #4: encrypted Informational Exchange message is invalid because it is for incomplete ISAKMP SA <BR>Feb 10 18:25:41 lig Pluto[12262]: "roadwarrior" <IP_Provider> #3: ignoring informational payload, type INVALID_COOKIE <BR>Feb 10 18:25:41 lig Pluto[12262]: "roadwarrior" <IP_Provider> #3: received and ignored informational message <BR>Feb 10 18:26:00 lig CROND[17020]: (root) CMD ( /usr/share/msec/promisc_check.sh) <BR>Feb 10 18:26:21 lig Pluto[12262]: "roadwarrior" <IP_Provider> #3: max number of retransmissions (2) reached STATE_MAIN_R2 <BR>Feb 10 18:26:47 lig Pluto[12262]: "roadwarrior" <IP_Provider> #4: max number of retransmissions (2) reached STATE_MAIN_R2 <BR>Feb 10 18:26:47 lig Pluto[12262]: "roadwarrior" <IP_Provider>: deleting connection "roadwarrior" instance with peer <IP_Provider> <BR> <BR> <BR>Merci par avance !!!

[louis]

Bonjour, <BR> <BR>Non, je n'ai pas ré-installé "FreeSwan", ni le patch "X509". <BR> <BR>J'ai effectué la configuration de IPSEC (tel qu'indiqué dans la doc MNF) par l'administration MNF. <BR> <BR>Tout se qui concerne les certificats a été paramétré 'à la main'. <BR> <BR>Je te conseille d'activer le log sur le poste 'client' car celui-ci donne beaucoup plus d'indication.