Ipcop IPSEC & routes

par **Loti39** » 09 Nov 2007 19:03

Bonsoir,

J'ai un soucis avec mon IPCop que je viens d'installer et configurer et je tombe sur ce merveilleux forum !

Voici mon problème :

J'ai besoin d'établir une connection entre deux Firewall (dont mon IPCop) et pour ça j'ai configuré mon tunnel dans l'onglet VPN. Après quelques recherches ça marche ! Mon tunnel est UP et depuis le réseau de mon IPCop j'arrive faire un ping sur l'ip Publique de la remote gateway et vice versa.

Par contre mon soucis maintenant que mon tunnel fonctionne; est que je n'arrive pas à dialoguer avec les machines de l'autre côté... Typiquement je devrais pouvoir faire un ping sur une des IPs mais cela ne passe pas et je crois savoir que cela viendrait des routes qui n'ont pas l'air toutes bonnes... Il me semble que IPCop tente d'utiliser sa route publique pour essayer de communiquer avec ces machines... Est-ce normal ? Faut-il faut quelquechose de plus pour que cela fonctionne ?

par **DWAM2** » 09 Nov 2007 20:03

Salut

depuis le réseau de mon IPCop j'arrive faire un ping sur l'ip Publique de la remote gateway

???
Pas besoin de VPN pour ca !!! Ca ne prouve pas que le VPN soit up... Juste que l'autre site est bien connecté au web...

En ce qui concerne, les routes, tu n'as rien à faire de particulier (au moins pour pinguer), IPCop se chargeant de mettre à jour sa table de routage lors de l'établissement/fermeture du VPN...

A mon avis, le VPN n'est pas bien configuré...
Qu'est-ce qui te fais dire que le tunnel est bon ?

Guillaume

par **Loti39** » 11 Nov 2007 16:52

En fait je schématise mon soucis :

LAN Privé (192.168.0.0) | Ipcop | INTERNET | Firewall tiers | LAN Privé (192.168.1.0)

Lorsque je :

- Ping depuis mon IPCop le firewall de l'autre côté ça marche
- Ping depuis mon IPCop des adresse IPs du LAN privé ça marche
- Ping depuis une machine du LAN derrière IPCop sur la gateway de l'autre côté ça marche
mais
Lorsque je ping depuis une machine sur le LAN derrière IPCop sur une autre machine de l'autre côté ça ne fonctionne pas...

J'ai controllé le trajet du packet et il passe bien sur l'IPSec mais il n'y pas de retour à priori ??
Une idée ?

Merci

par **DWAM2** » 11 Nov 2007 19:28

- vérifie les tables routages sur les 2 firewalls après l'établissement du VPN
- vérifie les rêgles des firewalls pour ICMP
- vérifie les passerelles par défaut sur les clients des 2 LAN (éventuellement les options DHCP)

que donne un ping depuis le LAN distant vers ton LAN ?

Guillaume

par **Loti39** » 12 Nov 2007 13:07

Hello,

Merci pour ta réponse...

En fait je pense savoir d'ou vient le problème mais avant tout, j'aimerais savoir la chose suivante ;

Est-ce que IPCop peut gérer du "vrai" NAT ? Je m'explique;

J'ai sur mon interface RED 3 IPs :

192.168.0.3 (alias)
192.168.0.4 (alias)
192.168.0.5 (alias)

Derrière la 192.168.0.3, il y a sur l'orange l'ip 10.0.0.3. Est-ce qu'il est possible de faire en sorte que cette ip 10.0.0.3 utilise, lorsqu'il sort, l'ip 192.168.0.3 ?

Merci d'avance

par **DWAM2** » 12 Nov 2007 13:52

Tu veux bien dire que les aliases IP pour ton RED appartiennent à la plage d'IP de ton LAN ?

Je ne pense pas qu'une telle config puisse fonctionner correctement...

par **Loti39** » 12 Nov 2007 14:11

Heu nonon du tout...

Mais là on essaye d'utiliser les adresses IP publique pour le tunnel sinon on est en conflit avec le réseau de l'autre côté.

par **DWAM2** » 12 Nov 2007 18:02

Ouh la !!!

Si vous avez un conflit d'adressage, je ne pense pas qu'une bidouille du style soit vraiment une solution...

Si vous avez vraiment besoin de ce VPN, modifiez les IP d'un des 2 LAN...
Si c'est juste pour tester, rajoutez une carte réseau sur IPCop, affectez-y une plage d'IP non conflictuelle et créez votre tunnel...

A part ca, je ne vois de toutes façons aucune IP publiques parmi toutes les adresses que tu as cité...

Guillaume

par **Loti39** » 15 Nov 2007 15:05

Bonjour !

Je viens peut être de trouver une piste quant au problème que j'ai avec mon IPSec...
lorsque je fais un ipsec verify sur mon IPCop j'ai cela comme erreure :

REDNAT from 0.0.0.0/0 to 0.0.0.0/0 kills tunnel 10.10.15.0/24:0 -> 1.2.3.4/24:0

Une idée ??

par **DWAM2** » 16 Nov 2007 12:15

Ca n'est a priori pas une erreur, par contre ça révèle que tu cherches à établir un tunnel entre le réseau 10.10.15.0 et le réseau 1.2.3.4

Cei ne correspond en rien à l'énoncé de ton problème :

En fait je schématise mon soucis :
LAN Privé (192.168.0.0) | Ipcop | INTERNET | Firewall tiers | LAN Privé (192.168.1.0)

???

Ipcop IPSEC & routes

Ipcop IPSEC & routes

Qui est en ligne ?