Zerina + openvpn Gui problème de connexion

[razel 92]

Deja Bonne année tout le monde.
Ensuite (en ésperant que quelqu'un puisse m'aider!!)

Green 10.xx.xx.xxx
Red 192.xxx.xxx.xxx

vpn road warrior par zerina ver la red
sur un poste client openvpn gui
en config client j'ai :
#OpenVPN Server conf
tls-client
client
dev tun
proto udp
tun-mtu 1500
remote 192.xxx.xxx.xxx 1194
pkcs12 VPN.p12
cipher BF-CBC
comp-lzo
verb 3
ns-cert-type server

dans le dossier config d'openVpn j'ai le fichier précédent .ovpn ; un fichier *.P12 et un key.txt

Lorsque je tante de démarrer openVPN j'obtiens ceci :
UDP4 link local (bound): [undef]: 1194
UDP4 link remote : 192.xxx.xxx.xxx : 1194
TLS Error : TLS Key negotiation failed to occur within 60 sec...
TLS Error : TLS handshake failed

j'ai suivi des indications que j'ai trouver sur ce meme site, comme des tutos pour faire un VPN, mais je n'y arrive pas.

les questions que je me poses :
- ou dois-je mettre ma config server?
- le probleme TLS proviens t-il du fait que openvpn n'arrive pas a lire la clé entre le client et le server?
- comment faire?
Si quelqu'un pourrait m'aider se serait vraiment génial.

Pour info je me suis documenté j'ai chercher mais entre des posts qui disent une chose et le suivant son contraire je ne sais plu ou donner de la tête.

Merci d'avance

[razel 92]

sur ipcop j'ai mis en connexions entrante a 0.0.0.0 accepter toutes connexions sur port 1194 mais cela ne semble pas suffisant ?!

[razel 92]

Et sur putty en mettant la ligne suivante : netstat -anp --ip

j'obtiens :
proto // recv-q // send-q // foreign adress // state // PID/program name
udp // 0 // 0 0.0.0.0:1194 // 0.0.0.0:* // // 534/openvpn

[topatoti]

Bonsoir,

Si tu vas faire un tour ici http://forums.ixus.fr/viewtopic.php?t=31152 tu pourras peut être trouver des infos qui t'aideront dans ta démarche de résolution de problème. Il s'agit du même message d'erreur, et appartement d'un problème de routes.

Ps Tes deux réseaux celui de l'extérieur a Red et le local sont bien différents ?
Quelle version d'Ipcop utilises Tu ?
Si ton ipcop est en frontal tu n'as normalement pas besoin do'uvrir le 1194 en udp, mais si il est derrière un routeur il faut que tu rediriges les connexions entrantes sur le port 1194 en Udp vers l'interface RED de ipcop..

Bien cordialement

[razel 92]

Bonjour topatoti
Merci pour ta réponse !
Mon IPCOP est une version 1.4.16, cela à t-il une incidnce sur le VPN?!
Je n'ai pas bien compris se que tu me demande au sujet de ma red et local.
Oui effectivement mon ipcop est placé derière un routeur, j'ai essayer de rediriger les connexions rentrante mais cela ne doit surement pas etre bon.

Merci, Bonne jounée

[topatoti]

Bonjour,

Dans un premier temps, mais cela ne doit rien à voir avec ton problème, que le client qui accède à ton réseau local via Vpn, est un réseau différent du tient en local, par exemple:
Réseau local du client en 192.168.0.0/24
Ton réseau local (green) 192.168.10.0/24
Il ne faut pas que :
Réseau local du client en 192.168.0.0/24 = 192.168.0.0/24 Mais bien que vos deux réseaux soit différents.

Ensuite si tu es derrière un routeur, de quel type de routeur s'agit t'il (D'une freebox, ou autre...)
Il faut que le routeur supporte le "VPN Passthrough", possibilité de router les paquets vpn vers le serveur openvpn, en gros...
A savoir ; la Freebox n'est pas VPN Passthrough, si il s'agit d'un autre type de routeur il faut que tu vérifies si celui-ci est bien VPN Passthrough.
Si ton routeur accèpte le VPN Passthrough, il faut que tu mette en place une règle de NAT.
Pour palier au problème de la freebox (qui ne supporte pas le Vpn Passthrough) tu la passe en mode bridge et ton ipcop sera en frontal (avec ip publique assigné via dhcp par la box), donc pas besoin de règle de NAT.

A suivre,....

[razel 92]

Merci pour ta réponse rapide.

Oui mes 2 réseaux sont bien distincts

c'est un routeur cisco 1401,et dans sa fiche technique il y est mentionné que le VPN peut apparament être monté sans problème, apparament...

[topatoti]

Rebonjour,

N'y a t -il pas un paramétrage à mettre en place sur ton 1401 pour que le vpn puisse être naté ?

[razel 92]

J'ai rentré cette ligne de commande dans hyperterminale sur mon routeur mais ceci ne doit surement pas etre bon :
ip nat translation port udp 1194 never

[razel 92]

J'ai suivi un tuto sur ce meme site pas à pas.
Par rapport à ce que je trouve un peu partout certain truc me paraisse bizare. Deja le config client que je telecharge en mem temps que le dossier .P12 et key.txt dans un fichier zip. Je dois le copier uniquement sur le client?! Et est-il normale aussi que je n'ai pas de certificat?! clé publique du CA, clé pblique serveur, clé privé client/server ne sont pas générer ou sont-ils caché quelque part?!
Bon j'arrete cela fait quand meme beaucoup de question, je ne veux pas te faire fuir !!!

[topatoti]

Il semblerai que la commande NAT soit du type "ip nat inside source static.....", à voir

[topatoti]

J'ai trouvé ce lien http://forum.hardware.fr/hfr/WindowsSof ... 8785_1.htm

Voir vers la fin du post, à essayer puis chercher si il n'y a pas une règle, syntaxe particulière pour laisser passer le vpn...

[topatoti]

Pour revenir sur la configuration du client, tu dois juste télécharger le package client de l'ipcop, dans celui-ci tu as deux fichiers un .p12 (certificat généré par ipcop pour ton client) et un fichier .ovpnet non pas .txt (qui correspond au paramètres pour joindre le serveur openvpn). Bien sûr tu les copie sur ton poste client dans C:\Program Files\OpenVPN\config...Il n'y a que ça a faire du coté client (sauf cas particulier côté client avec des règles sur les accès sortants ou là il faudrait que tu autorises les connexions sortantes en 1194 vers l'extérieur...)

Je pense qu'il il faut bien vérifier dans un premier temps que tes règles de Nat soit ok côté serveur (enfin plutôt coté du cisco, car sur ipcop tu ne doit rien a voir à faire de particulier en terme de Nat ) car au vue du message d'erreur il semble que ton port 1194 côté serveur ne puissent pas être contacté

[razel 92]

j'ai un gros problème: j'ai entrer
ip nat inside source static + @red
je n'ai plus internet
comment faire stp je suis dans la mouise !!!!

[topatoti]

Efface cette règle...