Ipcop et plusieurs VPN

[abouvier]

Bonjour

d 'abord bonne année à tous.

Je suis newbie avec Ipcop, j 'etais sous sme avant et j ai passer mes passerelles sous ipcop, rien a voir et c est bien miex et plus performant.

j ai 5 sites différents tous sur adsl en en degroupage avec IP fixe.

j ai installé la v 1.4.10.

evidemment, je veux que mes 5 sites soient interconnectés en vpn via 1 site central.

j ai monté mon premier vpn sans probleme, et c est quand j ai voulu monter le deuxieme que ca se complique.

j ai suivi la meme methode que pour le premier, il apparait proprement dans mon interface de gestion , mais si je vais dans reseau, la table de routage est incomplete, seule, ma premiere connection y est
A si j oubliais, j ai testé un re démarrant , et en refaisant la connection plusieurs fois, mais rien n y fait

merci poour vos réponses.

Antoine

[abouvier]

Salut, retour apres les fetes,

j ai reussi a mettre en place mon vpn, il est monté mais pas de transit entre les sites, par contre avec mon premier site ca marche, voici qieleques details sur ma config

Site A
172.172.172.X
255.255.255.0

Site B
173.173.173.X
255.255.255.0

Site C
176.176.176.X
255.255.0.0

les vpn sont tous montés voici ce que j ai cote routage IP
Site C
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
81.56.159.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1
81.56.159.0 0.0.0.0 255.255.255.0 U 0 0 0 ipsec0
172.172.0.0 81.56.159.254 255.255.255.0 UG 0 0 0 ipsec0
176.176.0.0 0.0.0.0 255.255.0.0 U 0 0 0 eth0
0.0.0.0 81.56.159.254 0.0.0.0 UG 0 0 0 eth1


Address HWtype HWaddress Flags Mask Iface
81.56.159.254 ether 00:07:CB:0E:92:35 C eth1
176.176.176.100 ether 00:12:3F:2A:12:3E C eth0


Site B
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
82.234.105.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1
82.234.105.0 0.0.0.0 255.255.255.0 U 0 0 0 ipsec0
172.172.172.0 82.234.105.254 255.255.255.0 UG 0 0 0 ipsec0
173.173.173.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
0.0.0.0 82.234.105.254 0.0.0.0 UG 0 0 0 eth1

Address HWtype HWaddress Flags Mask Iface
82.234.105.254 ether 00:07:CB:0E:D5:32 C eth1

Et Site A
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
172.172.172.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0
173.173.173.0 82.227.11.254 255.255.255.0 UG 0 0 0 ipsec0
82.227.11.0 0.0.0.0 255.255.255.0 U 0 0 0 eth1
82.227.11.0 0.0.0.0 255.255.255.0 U 0 0 0 ipsec0
176.176.0.0 82.227.11.254 255.255.0.0 UG 0 0 0 ipsec0
0.0.0.0 82.227.11.254 0.0.0.0 UG 0 0 0 eth1

Address HWtype HWaddress Flags Mask Iface
82.227.11.254 ether 00:07:CB:0A:EC:FE C eth1

Mon second VPN monte mais il n'apparait pas dans mon ifconfig, mon ipsec1 est inexistant.
dans la table de routage, le reseau 176.176.0.0 apparait meme sur ipsec 0alors qu a mon avis il devrait etre en ipsec1.

Est ce que quelqu un a une idee ? vais je rencontrer le meme probleme pour touts mes vpn . est ce que j ai une erreur?

Par avance merci
Antoine

[Franck78]

SAlut

Je ne reconnais pas les logs vpn ipcop. Si tu as mis un addon, merci de préciser.
Ensuite quelle drole d'idée ces addresse réseaux publiques pour tes réseaux privés.
Car j'imagine que 173.173.173.0 c'est pas TON réseau.
Tu courres au devant d'$%#&! infinies quand tu voudras 'vraiment' utiliser un serveur public dans cette plage...

Newbe 'ipcop' et admin réseau tout court aussi non ?
=> christian.caleca.free.fr

Prend le réseau 10.0.0.0 avec un masque 16 Bits
10.1.x.x site 1
10.2.x.x site 2

C'est tellement simple et lisible un classe A.

bye

[abouvier]

Merci pour le conseil, pour le moment j'ai repris l existant, et je n ai pas trop le temps de changer (meme si ca semble inevitable à long terme).

Pour l instant,si je change mes adresses, je ne suis pas certains que ca me solutionne le probleme malgre tout.

Je n ai pas mis d addon je tourne sur une 1.4.10, pour l heure mes vpn sont montés et je n ai pas eu de coupures, les ping ne passent pas de site A vers C et inversement

voici un tail -f /var/log/messages

[Franck78]

Tu peux couper tes logs, trop longs. Tu as dû activer tous les debugs pour avoir autant de bruit ! Surtout 'raw' qui ne sert strictment qu'en cas de vrai problème insoluble.
Et il y aussi le menu 'journaux', parceque tail var/log/messages et débrouilles toi[le lecteur] pour faire le tri dedans, faut pas exagérer

Si les vpns montent et que rien ne passe dedans, c'est que la table de routage délire d'un coté de chaque tunnel...

Bye

[abouvier]

Salut

ok, j ai viré mes logs, ou est ce que je modifie en dur la table de routage ? Est ce qu il y a un fichier de config pour ma configurer mon interface ipsec1 ?

en fait je suppose que si j'arrive à monter mon ipsec0 et que je fais mon routage vers cette interface, ca devrais fonctionner.

Antoine

[Franck78]

On ne modifie pas la table de routage. Il y a plusieurs IPCop installés sans bidouille pour obtenir le résultat que tu veux. Procède dans l'ordre. Une couche réseau respectant les standarts semble être le premier pas inévitable.

Si tu veux une aide sérieuse, commence par produire un schéma détaillé! Lire les logs comme tu les a présentés ne sert à rien sans vue d'ensemble. N'oublies pas que personne n'est rémunéré pour bosser ici.

[abouvier]

Bonsoir,


bon ja iun peu fait le tour, maintenant tous me svpn sont ok, mais des que je monte plus de 2 vpn le 2e vpn est ok mais pas de transit et l interface ipsecx ne fonctionne pas, voil un log bizarre


Jan 3 01:09:15 coquille pluto[1128]: packet from 82.234.105.204:500: initial Main Mode message received on 82.234.99.151:500 but no connection has been authorized with policy=PSK

|adresse IP
Site B |173.173.173.X
82.234.105.204 |255.255.255.0
| ---------------------------|
|
Site A | | |
82.227.11.160 | | Site C |adresse IP
---------------------------| | 82.234.99.151 |174.174.174.X
Adresse IP |----------------------|----------------------------|255.255.0.0
172.172.172.X |
255.255.255.0 | Site D | adresse IP
| 81.56.159.202 |176.176.176.X
|----------------------------|255.255.0.0


C doit avoir acces à B et d et b doit avoir acces à D.


voila ce qui ressort si je fais un ipsec auto- -status

000 interface ipsec0/eth1 82.227.11.160
000 interface ipsec0/eth1 82.227.11.160
000
000 algorithm ESP encrypt: id=3, name=ESP_3DES, ivlen=64, keysizemin=168, keysizemax=168
000 algorithm ESP encrypt: id=7, name=ESP_BLOWFISH, ivlen=64, keysizemin=96, keysizemax=448
000 algorithm ESP encrypt: id=12, name=ESP_AES, ivlen=128, keysizemin=128, keysizemax=256
000 algorithm ESP encrypt: id=252, name=ESP_SERPENT, ivlen=128, keysizemin=128, keysizemax=256
000 algorithm ESP encrypt: id=253, name=ESP_TWOFISH, ivlen=128, keysizemin=128, keysizemax=256
000 algorithm ESP auth attr: id=1, name=AUTH_ALGORITHM_HMAC_MD5, keysizemin=128, keysizemax=128
000 algorithm ESP auth attr: id=2, name=AUTH_ALGORITHM_HMAC_SHA1, keysizemin=160, keysizemax=160
000 algorithm ESP auth attr: id=5, name=AUTH_ALGORITHM_HMAC_SHA2_256, keysizemin=256, keysizemax=256
000 algorithm ESP auth attr: id=7, name=AUTH_ALGORITHM_HMAC_SHA2_512, keysizemin=512, keysizemax=512
000
000 algorithm IKE encrypt: id=65289, name=OAKLEY_SSH_PRIVATE_65289, blocksize=16, keydeflen=128
000 algorithm IKE encrypt: id=65005, name=OAKLEY_TWOFISH_CBC, blocksize=16, keydeflen=128
000 algorithm IKE encrypt: id=65004, name=OAKLEY_SERPENT_CBC, blocksize=16, keydeflen=128
000 algorithm IKE encrypt: id=6, name=OAKLEY_CAST_CBC, blocksize=8, keydeflen=128
000 algorithm IKE encrypt: id=3, name=OAKLEY_BLOWFISH_CBC, blocksize=8, keydeflen=128
000 algorithm IKE encrypt: id=7, name=OAKLEY_AES_CBC, blocksize=16, keydeflen=128
000 algorithm IKE encrypt: id=5, name=OAKLEY_3DES_CBC, blocksize=8, keydeflen=192
000 algorithm IKE hash: id=6, name=OAKLEY_SHA2_512, hashsize=64
000 algorithm IKE hash: id=4, name=OAKLEY_SHA2_256, hashsize=32
000 algorithm IKE hash: id=2, name=OAKLEY_SHA, hashsize=20
000 algorithm IKE hash: id=1, name=OAKLEY_MD5, hashsize=16
000 algorithm IKE dh group: id=1, name=OAKLEY_GROUP_MODP768, bits=768
000 algorithm IKE dh group: id=2, name=OAKLEY_GROUP_MODP1024, bits=1024
000 algorithm IKE dh group: id=5, name=OAKLEY_GROUP_MODP1536, bits=1536
000 algorithm IKE dh group: id=14, name=OAKLEY_GROUP_MODP2048, bits=2048
000 algorithm IKE dh group: id=15, name=OAKLEY_GROUP_MODP3072, bits=3072
000 algorithm IKE dh group: id=16, name=OAKLEY_GROUP_MODP4096, bits=4096
000 algorithm IKE dh group: id=17, name=OAKLEY_GROUP_MODP6144, bits=6144
000 algorithm IKE dh group: id=18, name=OAKLEY_GROUP_MODP8192, bits=8192
000
000 stats db_ops.c: {curr_cnt, total_cnt, maxsz} :context={0,58,36} trans={0,58,432} attrs={0,58,288}
000
000 "gfa": 172.172.172.0/24===82.227.11.160---82.227.11.254...82.227.11.254---82.234.99.151===174.174.0.0/16
000 "gfa": CAs: '%any'...'%any'
000 "gfa": ike_life: 3600s; ipsec_life: 28800s; rekey_margin: 540s; rekey_fuzz: 100%; keyingtries: 0
000 "gfa": policy: PSK+ENCRYPT+TUNNEL+PFS; interface: eth1; erouted
000 "gfa": newest ISAKMP SA: #48; newest IPsec SA: #9; eroute owner: #9
000 "gfa": IKE algorithms wanted: 7_128-2-5, 7_128-2-2, 7_128-1-5, 7_128-1-2, 5_000-2-5, 5_000-2-2, 5_000-1-5, 5_000-1-2, flags=-strict
000 "gfa": IKE algorithms found: 7_128-2_160-5, 7_128-2_160-2, 7_128-1_128-5, 7_128-1_128-2, 5_192-2_160-5, 5_192-2_160-2, 5_192-1_128-5, 5_192-1_128-2,
000 "gfa": IKE algorithm newest: AES_CBC_128-SHA-MODP1536
000 "gfa": ESP algorithms wanted: 12_128-2, 12_128-1, 3_000-2, 3_000-1, flags=-strict
000 "gfa": ESP algorithms loaded: 12_128-2_160, 12_128-1_128, 3_168-2_160, 3_168-1_128,
000 "gfa": ESP algorithm newest: AES_128-HMAC_SHA1; pfsgroup=<Phase1>
000 "arpajon": 172.172.172.0/24===82.227.11.160---82.227.11.254...82.227.11.254---82.234.105.204===173.173.173.0/24
000 "arpajon": CAs: '%any'...'%any'
000 "arpajon": ike_life: 3600s; ipsec_life: 28800s; rekey_margin: 540s; rekey_fuzz: 100%; keyingtries: 0
000 "arpajon": policy: PSK+ENCRYPT+TUNNEL+PFS; interface: eth1; erouted
000 "arpajon": newest ISAKMP SA: #50; newest IPsec SA: #8; eroute owner: #8
000 "arpajon": IKE algorithms wanted: 7_128-2-5, 7_128-2-2, 7_128-1-5, 7_128-1-2, 5_000-2-5, 5_000-2-2, 5_000-1-5, 5_000-1-2, flags=-strict
000 "arpajon": IKE algorithms found: 7_128-2_160-5, 7_128-2_160-2, 7_128-1_128-5, 7_128-1_128-2, 5_192-2_160-5, 5_192-2_160-2, 5_192-1_128-5, 5_192-1_128-2,
000 "arpajon": IKE algorithm newest: AES_CBC_128-SHA-MODP1536
000 "arpajon": ESP algorithms wanted: 12_128-2, 12_128-1, 3_000-2, 3_000-1, flags=-strict
000 "arpajon": ESP algorithms loaded: 12_128-2_160, 12_128-1_128, 3_168-2_160, 3_168-1_128,
000 "arpajon": ESP algorithm newest: AES_128-HMAC_SHA1; pfsgroup=<Phase1>
000 "ferte": 172.172.172.0/24===82.227.11.160---82.227.11.254...82.227.11.254---81.56.159.202===176.176.0.0/24
000 "ferte": CAs: '%any'...'%any'
000 "ferte": ike_life: 3600s; ipsec_life: 28800s; rekey_margin: 540s; rekey_fuzz: 100%; keyingtries: 0
000 "ferte": policy: PSK+ENCRYPT+TUNNEL+PFS; interface: eth1; trap erouted
000 "ferte": newest ISAKMP SA: #54; newest IPsec SA: #0; eroute owner: #0
000 "ferte": IKE algorithms wanted: 5_000-2-5, flags=-strict
000 "ferte": IKE algorithms found: 5_192-2_160-5,
000 "ferte": IKE algorithm newest: 3DES_CBC_192-SHA-MODP1536
000 "ferte": ESP algorithms wanted: 3_000-2, flags=-strict
000 "ferte": ESP algorithms loaded: 3_168-2_160,
000
000 #48: "gfa" STATE_MAIN_R3 (sent MR3, ISAKMP SA established); EVENT_SA_REPLACE in 2497s; newest ISAKMP
000 #9: "gfa" STATE_QUICK_I2 (sent QI2, IPsec SA established); EVENT_SA_REPLACE in 24696s; newest IPSEC; eroute owner
000 #9: "gfa" esp.b23b05fe@82.234.99.151 esp.d38ca8f2@82.227.11.160 tun.1008@82.234.99.151 tun.1007@82.227.11.160
000 #8: "arpajon" STATE_QUICK_R2 (IPsec SA established); EVENT_SA_REPLACE in 25059s; newest IPSEC; eroute owner
000 #8: "arpajon" esp.88336142@82.234.105.204 esp.d38ca8f1@82.227.11.160 tun.1006@82.234.105.204 tun.1003@82.227.11.160
000 #7: "arpajon" STATE_QUICK_I2 (sent QI2, IPsec SA established); EVENT_SA_REPLACE in 24697s
000 #7: "arpajon" esp.88336143@82.234.105.204 esp.d38ca8f0@82.227.11.160 tun.1005@82.234.105.204 tun.1004@82.227.11.160
000 #6: "arpajon" STATE_MAIN_I4 (ISAKMP SA established); EVENT_SA_EXPIRE in 96s
000 #4: "gfa" STATE_QUICK_R2 (IPsec SA established); EVENT_SA_REPLACE in 24972s
000 #4: "gfa" esp.b23b05fd@82.234.99.151 esp.d38ca8ee@82.227.11.160 tun.1002@82.234.99.151 tun.1001@82.227.11.160
000 #3: "gfa" STATE_MAIN_R3 (sent MR3, ISAKMP SA established); EVENT_SA_EXPIRE in 21s
000 #63: "ferte" STATE_QUICK_I1 (sent QI1, expecting QR1); EVENT_RETRANSMIT in 14s
000 #54: "ferte" STATE_MAIN_I4 (ISAKMP SA established); EVENT_SA_REPLACE in 2375s; newest ISAKMP
000 #50: "arpajon" STATE_MAIN_I4 (ISAKMP SA established); EVENT_SA_REPLACE in 2204s; newest ISAKMP
000