IPTable et VPN

par **morind79** » 20 Mars 2003 13:34

Bonjour, Voila, j'ai un petit soucis. Pour avoir acces au reseau de mon entreprise, je passe par une connexion VPN. Je travail de chez moi, j'ai une connexion ADSL et un ordinateur portable sous Windows 2000. Tout marche bien lorsque je me connecte a Internet via mon modem Speedtouch USB ADSL, je rentre sans soucis avec Cisco VPN client. Puis dernierement, je me suis dis que ce serait cool de pouvoir heberger sa propre messagerie, site web chez soi, donc Linux. J'ai choisi la RedHat car elle me paraissait mieux (allez savoir pourquoi) J'ai donc mis le modem ADSL sous RedHat 8, cree les scripts de connexion auto et reconnexion auto, et ai partager l'acces internet. La connexion Internet marche, et j'utilise RedHat comme passerelle, tout marche, la preuve jevous ecris ! Voici le schema de mon tout petit reseau : Internet <-> Modem ADSL <-> RedHat 8 <-> Portable sous Win2000 De mon portable, je peux surfer, recuperer mes Email, allez sur des sites FTP... Mais, lorsque je lance ma connexion VPN (de mon portable), rien ne se connecte, il me dit : Remote peer is no longer responding Qqu'un aurait une idee, merci de m'aider, je suis extremement debutant sous linux. Merci a tous Denis

par **stardust** » 20 Mars 2003 18:26

Salut, En fait c'est un pas évident à expliquer clairement : Avant, lorsque ton portable était connecté directement à ton modem ADSL, c'est ton portable qui récupérait pour lui même l'adresse IP publique affectée par ton fournisseur d'accès. Maintenant c'est ta REDHAT. J'imagine que tu as un réseau privé derrière ta REDHAT et que tu fais de la translation d'adresse (Sinon tu ne pourrais pas surfer !!) Le problème vient de la translation justement car IPSEC ne la supporte pas. POURQUOI ça marche pas au travers de la translation (infos Netasq): Lors de l’établissement d’un tunnel VPN, il y a création d’une SA (Security Association) pour les deux entités distantes. Cette SA contient les paramètres permettant aux deux entités de mettre en place les services de sécurité entre elles. Elle contient le protocole de sécurité AH ou ESP utilisé avec les services de sécurité (confidentialité, intégrité, authentification, protection contre le rejeu), les algorithmes et clés de chiffrement, la fonction de hachage. La SA contient aussi le mode du protocole IPSEC (tunnel ou transport), la durée de vie de la SA. Une SA est identifiée par le triplet suivant : - indice SPI (Security Parameters Index) - adresse de l’équipement de sécurité distant - protocole de sécurité (AH ou ESP) Un tunnel est associé à une SA (remarque : la SA est recréée au bout d’un intervalle de temps défini). Il est donc directement associé aux adresses IP des extrémités. Les adresses utilisées pour identifier une SA sont les adresses privées des extrémités. Lorsqu’une extrémité du tunnel reçoit une demande d'établissement de tunnel VPN, elle vérifie si le tunnel demandé a bien été défini par l'administrateur (tunnel défini au moyen de l'interface graphique). Si c'est le cas, le tunnel VPN se monte entre les deux extrémités. Ensuite, lorsqu'une extrémité reçoit un paquet ESP du tunnel VPN, elle vérifie à quelle SA correspond le paquet reçu. Si l’adresse IP source est modifiée, l’entité ne peut plus déterminer la SA correspondante et les paquets ESP sont rejetés. La translation d’adresse sur la route que devrait emprunter un VPN interdit la création de ce dernier puisque l’adresse source d’une des extrémités est modifiée (adresse privée vers adresse publique). Il faut utiliser une astuce : - Encapsuler les paquets ESP/IP dans de l'UDP, ou bien - Encapsuler les paquets ESP/IP dans du TCP ou bien - Faire du NAT-Traversal (NAT-T) J'ai aussi entendu parler d'une fonctionnalité nommée "IPSEC pass through" Il existe peut être d'autres astuces ??? Malheureusement pour toi, je ne sais pas te dire comment cela se configure, ni si cela est possible, sur ta REDHAT <IMG SRC="images/smiles/icon_biggrin.gif"> Je crois que dans le client VPN Cisco on peut choisir un mode IPSEC/TCP ou IPSEC/UDP ... Si tu avance sur ce sujet, je suis intéressé. Je te souhaite bon courage.

par **morind79** » 20 Mars 2003 21:47

Salut, Merci de votre reponse, je vais faire des recherches.... J'ai deja trouve un site qui parle de NAT-T avec <a href="http://www.freeswan.org/" target="_blank">http://www.freeswan.org/</a> mais je ne sais pas trop. Je pensais qu'avec une regle dans IPTable le tour serait joué mais, ce n'est pas le cas. Si il y a d'autre infos, n'hesitez pas a en faire part sur ce forum. Merci Denis

par **tomtom** » 21 Mars 2003 19:46

Un moyen encore plus simple serait de configurer le VPN sur la passerelle ! Si c'est de l'IPSec (ce que sous-entend la reponse précédente), tu peux facilement moter le tunnel avec Freeswann, à condition de pouvoir également toucher à la config coté boulot. Une autre piste : <a href="http://www.tldp.org/HOWTO/VPN-Masquerade-HOWTO.html" target="_blank">http://www.tldp.org/HOWTO/VPN-Masquerade-HOWTO.html</a> Permet de passer un vpn au travers d'une connexion natée avec IPTables... Attention, il y a du boulot et il faut bien comprendre les principes, mais ca marche : Je 'ai fait ! Bon courage ! Thomas

par **morind79** » 22 Mars 2003 10:48

Bon, je crois avoir resolu mon probleme, je passe en UDP, et tout marche correctement. Voila. A Bientot Denis

IPTable et VPN

Qui est en ligne ?