Pas de trafic entre le client vpn et le lan

[sioca]

Bonjour,

Je n'arrive pas a faire communiquer un client (Sentinel) et le LAN derriere un IPcop. Lorsque j'essaye de joindre une station (192.168.3.27 par exemple) du LAN ou meme l'interface lan de l'ipcop, je n'obtiens pas de reponse.

Un traceroute à partir du client me donne ceci :

C:\>tracert -d 192.168.3.27

Détermination de l'itinéraire vers 192.168.3.27 avec un maximum de 30 sauts.

1 * * * Délai d'attente de la demande dépassé.
2 * * * Délai d'attente de la demande dépassé.
3 * * * Délai d'attente de la demande dépassé.

Du coté IPcop, le traceroute vers l'ip privé du client sort directement en utilisant les meme hop qu'un traceroute vers l'adresse IP publique du client sans la finir.

Je suppute qu'il y a un probleme de route au niveau de l'ipcop (d'ou le fait qu'il n'y a pas de reponse au ping ou traceroute)

[krisnalada]

Tu essayes de faire quoi exactement ? connecter un pc d'internet à ton réseau local via un vpn ?
Si c'est le cas :
il faut que ton pc qui veux connuniquer avec le reseau local s'adresse à l'ip "public" de ton réseau local et non pas 192.168.3.27, ca ne marchera pas ca
tu as ouverts les bons ports sur ipcop et sur les pcs (dans le lan et celui qui est connecté via internet) ?
tu as configurer la redirection de traffic de ton serveur vpn dans le lan et ton ipcop, pour que le moment venu ta machine qui communique avec le lan puisse trouver le server ?

[sioca]

Tu essayes de faire quoi exactement ?

Je voudrais connecter mon portable au bureau.

connecter un pc d'internet à ton réseau local via un vpn ?

Oui

Si c'est le cas :
il faut que ton pc qui veux connuniquer avec le reseau local s'adresse à l'ip "public" de ton réseau local et non pas 192.168.3.27, ca ne marchera pas ca

192.168.3.27 est simplement une station dans le lan que je voudrais acceder via le vpn

tu as ouverts les bons ports sur ipcop et sur les pcs (dans le lan et celui qui est connecté via internet) ?

Je pense avoir ouvert tous les ports :
10000 TCP pour Cisco
51 TCP pour l'AH
500 UDP/TCP pour l'IKE
50 TCP pour l'ESP
47 pour le GRE
4500 pour le NAT-T
80 UDP pour l'ESP Cisco
3456 TCP pour Cisco

tu as configurer la redirection de traffic de ton serveur vpn dans le lan et ton ipcop, pour que le moment venu ta machine qui communique avec le lan puisse trouver le server ?

c'est à dire ?


Voici la representation de la configuration réseau :
[/quote]

[sioca]

J'ai reinstallé IPcop et sentinel SSH. Je n'arrive toujours pas a faire passer le trafic. Mais en vérifiant les routes sur l'ipcop et sur ma station, j'obtiens :


Sur l'ipcop

root@ipcop:~ # route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
192.168.4.100 $IP_GW_INTERNET 255.255.255.255 UGH 0 0 0 ipsec0
$SUBNET_INTERNET 0.0.0.0 255.255.255.240 U 0 0 0 eth2
$SUBNET_INTERNET 0.0.0.0 255.255.255.240 U 0 0 0 ipsec0
192.168.3.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
192.168.2.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1
0.0.0.0 $IP_GW_INTERNET 0.0.0.0 UG 0 0 0 eth2

Vu l'interface utilisé pour 192.168.4.100 (qui se trouve etre ma station), je pense la route est bonne. Par contre sur ma station, j'ai :

Itinéraires actifs :
Destination réseau Masque réseau Adr. passerelle Adr. interface Métrique
0.0.0.0 0.0.0.0 192.168.4.1 192.168.4.100 20
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
192.168.4.0 255.255.255.0 192.168.4.100 192.168.4.100 20
192.168.4.100 255.255.255.255 127.0.0.1 127.0.0.1 20
192.168.4.255 255.255.255.255 192.168.4.100 192.168.4.100 20
224.0.0.0 240.0.0.0 192.168.4.100 192.168.4.100 20
255.255.255.255 255.255.255.255 192.168.4.100 192.168.4.100 1
255.255.255.255 255.255.255.255 192.168.4.100 2 1
Passerelle par défaut : 192.168.4.1


Je suppose donc que mon probleme vient de la, il n'y a pas d'interface ipsec0 sur ma station. Que faut il ?

[antolien]

Bonjour,

La première chose à vérifier c'est si le nat-traversal est coché sur ton ssh.
(ADVANCED/Enable Network Address Translation Traversal)
Vu que tu es derrière un routeur.

Ensuite, je ne sais pas comment on gère ça dans ipcop, mais normalement il faut définir une ip virtuelle.
J'entends par là qu'il faut que l'adresse ip définie pour l'interface vpn ne dois être sur aucun des deux réseaux. sinon il y aura un problème de routage.

Si ton tunnel s'établi bien(ipsec SA Established dans les logs), c'est plutôt l'adresse ip virtuelle du client vpn qu'il faudra changer.

[sioca]

Bonjour,

La première chose à vérifier c'est si le nat-traversal est coché sur ton ssh.
(ADVANCED/Enable Network Address Translation Traversal)
Vu que tu es derrière un routeur.

Oui j'ai bien coché le NAT-T comme indiqué sur http://forums.fr.ixus.net/viewtopic.php?p=161103#161103

Ensuite, je ne sais pas comment on gère ça dans ipcop, mais normalement il faut définir une ip virtuelle. J'entends par là qu'il faut que l'adresse ip définie pour l'interface vpn ne dois être sur aucun des deux réseaux. sinon il y aura un problème de routage.

Je viens de rajouter une interface virtuelle dans sentinel ssh : 192.168.5.10, maintenant j'ai en route :

sur l'ipcop
192.168.5.10 $IP_GW_INTERNET 255.255.255.255 UGH 0 0 0 ipsec0

et sur ma station
Destination réseau Masque réseau Adr. passerelle Adr. interface Métrique
0.0.0.0 0.0.0.0 192.168.4.1 192.168.4.100 20
127.0.0.0 255.0.0.0 127.0.0.1 127.0.0.1 1
$IP_IPCOP_INTERNET 255.255.255.255 192.168.4.1 192.168.4.100 1
192.168.3.0 255.255.255.0 192.168.5.10 192.168.5.10 1
192.168.4.0 255.255.255.0 192.168.4.100 192.168.4.100 20
192.168.4.100 255.255.255.255 127.0.0.1 127.0.0.1 20
192.168.4.255 255.255.255.255 192.168.4.100 192.168.4.100 20
192.168.5.0 255.255.255.0 192.168.5.10 192.168.5.10 20
192.168.5.10 255.255.255.255 127.0.0.1 127.0.0.1 20
192.168.5.255 255.255.255.255 192.168.5.10 192.168.5.10 20
224.0.0.0 240.0.0.0 192.168.4.100 192.168.4.100 20
224.0.0.0 240.0.0.0 192.168.5.10 192.168.5.10 20
255.255.255.255 255.255.255.255 192.168.4.100 192.168.4.100 1
255.255.255.255 255.255.255.255 192.168.5.10 192.168.5.10 1

Mais rien ne passe (ping et traceroute)

Si ton tunnel s'établi bien(ipsec SA Established dans les logs), c'est plutôt l'adresse ip virtuelle du client vpn qu'il faudra changer.

[antolien]

Pour info, si ton os est un XP Pro SP2, je pense que ssh sentinel ne marchera pas avec une ip virtuelle.

Je te conseille de passer par Softremote qui lui fonctionne avec le SP2, mais dans un premier temps de tester sans le sp2 voir si c'est ça.

[sioca]

Oui j'ai XP Pro SP2. Mais cela marche encore moins bien avec SoftRemote :

09:56:28.488
09:56:28.559 My Connections\Test - The certificate "sioca's SOCIETE SI ID" is invalid.
09:56:28.599 Failed to initiate negotiation.

[sioca]

Finalement ça marche, j'ai simplement desinstallé le logiciel Cisco VPN