[resolu] 2 VPN pour green + orange = bon ?

[shwing]

Bonjour / 'soir,

J'ai une question qui me taraude depuis un moment.

ipcop1 (green + orange)
ipcop2 (green)

J'ai crée 2 VPN entre ipcop1 et ipcop2. Ceci afin que mon premier VPN accède à quelques IP du green (ipcop1) et le deusième VPN pour que les PC d'ipcop2 accède uniquement à un serveur dans la DMZ d'ipcop1.

N'y a-tîl pas un autre moyen pour seulement crée un seul VPN entre les 2 ipcop et ensuite définir quel réseau accède à quel réseau respectifs. Ceci afin de ne pas générer du traffic inutile, d'utiliser le pross inutilement, etc... ou ipcop ne prends pas en charge ceci ?

Merci pour vos réponses : )

[loberty]

Bonjour,

Ce doit être possible en gérant les règles différement de chaque côté et un indiquant que ces règles s'appliquent à ipsec0.

Par exemple, sur l'IPCOP qui recoit les connexions distantes par VPN et qui ne doit fournir un accès que sur sa DMZ, tu pourras préciser que tout ce qui provient de VPN (ipsec0 je crois) ne dois avoir accès qu'à la DMZ locale.

Et tu fais le même chose sur l'autre IPCOP pour l'accès à GREEN.

A+

[shwing]

merci loberty pour ta réponse.

En lisant ton topic, j'en déduit que cela ne pourra se faire qu'en modifiant certains fichiers à la main et non pas depuis le webgui. Je ne suis pas contre, bien au contraire : )=

j'ai regardé les quels fichiers que je peux identifier dans ipcop, mais rien ne me parle. Si tu peux m'orienter sur quels fichiers je dois bosser... : )

[loberty]

Bonsoir,

Si tu veux le faire par la GUI, il te faut alors utiliser BOT (BlockOutTrafic en ayant au préalable installé Addons Server).

Pour le faire à la mano, tu dois alors modifier le fichier /etc/rc.d/rc.firewall.local.
Pour les commandes, vérifies comment se nomme l'intrerface VPN, je crois que c'est ipsecX où X est incrémenté pour chaque VPN.
La règle pourrait ressembler à cela, attention, j'en suis pas du tout certain, je te conseille de bien vérifier avant.
Cette règle ci-dessous (si elle fonctionne !) autorise tout ce qui est à transférer de IPSEC vers la DMZ.

/sbin/iptables -A FORWARD -i ipsec+ -o $ORANGE_DEV -j ACCEPT

Cérifies avant que par défaut tout le reste est refusé.

A+

[shwing]

>ok,

si je comprends bien te suggestions (via webgui) je définie mon VPN 'plus large' que par défaut et ensuite je bloque ce que je ne veux pas qui soit vu via BOT. juste ?

sinon, j'édite le fichier rc.firewall.local et là je rentre qui peut voir quoi, ce qui me parrait plus simple, lors que j'aurais compris les commandes à rentrer, que l'interface de BOT.


^^

[loberty]

Avec les commandes IPTABLES ou BOT via la GUI c'est la même chose.
Je dirais qu'avec BOT c'est beaucoup plus simple car la syntaxe c'est lui qui la trouve tout seul !

A+

[shwing]

ok je te remercie loberty pour ton temps !