[Pb] Ipcop 1.4.20 - VirtualPC

[heineken]

Bonjour, pour des tests j'ai installer 2 ipcop sur des machines virtuelle avec virtualPC en réseau interne.
Je souhaite faire des tests pour faire une connexion - RPV réseau à réseau

ipcop00:
GREEN - 192.168.0.254/24
RED - 10.0.0.1/16

ipcop01:
GREEN - 192.168.10.254/24
RED - 10.0.0.2/16

Les 2 interfaces RED se ping sans soucie.

J'ai crée un RPV réseau à réseau

Pour ipcop00:
ip distant : 10.0.0.2
Sous-réseau distant : 192.168.20.0/24
Clé partagée : test

Pour ipcop01:
ip distant : 10.0.0.1
Sous-réseau distant : 192.168.10.0/24
Clé partagée : test

Je pensais que ça suffirai pour que les reseau GREEN ce voient, mais rien a faire dans le contrôle et statut de la connexion l'état reste en fermé.

Excuser moi de vous déranger avec un probleme un peu debile.. surment.
Merci d'avance.

[jdh]

Il est ASSEZ difficile de tester, grâce à la virtualisation, un firewall du fait de la complexité induite !
Il serait intéressant de tester avec 2 machines physiques reliées par un câble croisé ...


Pour quelles raisons ce choix de "sous-réseaux distants" ?

[heineken]

J'avais fait ce choix de sous reseau pour evité de trop m'enmeler les pinceaux.
ipcop"1"
interface RED 10.0.0."1"
Sous reseau 192.168."1"0.0

ipcop"2"
interface RED 10.0.0."2"
Sous reseau 192.168."2"0.0
_______________________________

C'est domage car c'est pratique le virtuel pour faire des tests ^^
Je vais donc configurer 2 postes pour faire mes tests, j'espere que je n'aurais plus mon probleme.
Merci

[jdh]

Il est ASSEZ difficile de tester dans un environnement virtuel : cela demande une bonne expertise technique mais ce n'est pas impossible !


Si j'attire l'attention sur "sous-réseaux distants", c'est que je pense qu'il y a erreur de choix car erreur de compréhension !
(Je peux me tromper) Mais le sous-réseau distant est naturellement le réseau Green et non une autre valeur !

Par ailleurs, la mise au point d'un vpn Ipsec exige de bien regarder les logs et de s'y référer dans tous les cas !

[heineken]

Oui, alors j'ai marquer :

ipcop00:
GREEN - 192.168.0.254/24
RED - 10.0.0.1/16

ipcop01:
GREEN - 192.168.10.254/24
RED - 10.0.0.2/16

Ce qui est faux..
C'est :

ipcop00:
GREEN - 192.168.10.254/24
RED - 10.0.0.1/16

ipcop01:
GREEN - 192.168.20.254/24
RED - 10.0.0.2/16

Heu.... ils sont où les fichiers de logs ...

[heineken]

C'est bon, pour les logs.

10:26:43 ipsec_setup Stopping Openswan IPsec...
10:26:43 ipsec_setup stop ordered, but IPsec does not appear to be running!
10:26:43 ipsec_setup doing cleanup anyway...
10:26:43 pluto[542] shutting down
10:26:43 pluto[542] forgetting secrets
10:26:44 ipsec_setup ipsec: Device or resource busy
10:26:44 ipsec_setup ...Openswan IPsec stopped
10:26:44 ipsec_setup Starting Openswan IPsec 1.0.10...
10:26:44 ipsec_setup KLIPS debug `none'
10:26:44 ipsec_setup no default route, %defaultroute cannot cope!!!
10:26:44 ipsec__plutorun Starting Pluto subsystem...
10:26:44 pluto[1246] Starting Pluto (Openswan Version 1.0.10)
10:26:44 pluto[1246] including X.509 patch with traffic selectors (Version 0.9.42)
10:26:44 pluto[1246] including NAT-Traversal patch (Version 0.6)
10:26:44 pluto[1246] ike_alg_register_enc(): Activating OAKLEY_AES_CBC: Ok (ret=0)
10:26:44 pluto[1246] ike_alg_register_enc(): Activating OAKLEY_BLOWFISH_CBC: Ok (ret=0)
10:26:44 pluto[1246] ike_alg_register_enc(): Activating OAKLEY_CAST_CBC: Ok (ret=0)
10:26:44 pluto[1246] ike_alg_register_enc(): Activating OAKLEY_SERPENT_CBC: Ok (ret=0)
10:26:44 pluto[1246] ike_alg_register_hash(): Activating OAKLEY_SHA2_256: Ok (ret=0)
10:26:44 pluto[1246] ike_alg_register_hash(): Activating OAKLEY_SHA2_512: Ok (ret=0)
10:26:44 pluto[1246] ike_alg_register_enc(): Activating OAKLEY_TWOFISH_CBC: Ok (ret=0)
10:26:44 pluto[1246] ike_alg_register_enc(): Activating OAKLEY_SSH_PRIVATE_65289: Ok (ret=0)
10:26:44 pluto[1246] Changing to directory '/etc/ipsec.d/cacerts'
10:26:44 ipsec_setup ...Openswan IPsec started
10:26:44 pluto[1246] Warning: empty directory
10:26:44 pluto[1246] Changing to directory '/etc/ipsec.d/crls'
10:26:44 pluto[1246] Warning: empty directory
10:26:44 pluto[1246] OpenPGP certificate file '/etc/pgpcert.pgp' not found
10:26:45 ipsec__plutorun ipsec_auto: fatal error in "vpn": %defaultroute requested but not known
10:26:45 pluto[1246] listening for IKE messages
10:26:45 pluto[1246] no public interfaces found
10:26:45 pluto[1246] loading secrets from "/etc/ipsec.secrets"
10:26:45 ipsec__plutorun 003 no public interfaces found
10:26:45 ipsec__plutorun 021 no connection named "vpn"
10:26:45 ipsec__plutorun ...could not route conn "vpn"
10:26:45 ipsec__plutorun 021 no connection named "vpn"
10:26:45 ipsec__plutorun ...could not start conn "vpn"

[Franck78]

10:26:45 ipsec__plutorun ipsec_auto: fatal error in "vpn": %defaultroute requested but not known

il faut que tu mettes dans les réglages de la carte RED que la gateway est la carte RED de l'autre IPCop (%defaultroute).

[jdh]

Il n'y aurait aucun tuto pour Ipsec pour Ipcop ?

Ce qu'écrit Franck78 est doublement juste :
- la mention d'"error" dans les log est évidemment à regarder,
- c'est logique de remplir une "defaultroute" (le contraire serait illogique : c'est basique pour une interface).

[heineken]

Forcement, ça marche beaucoup mieu maintenant...
Excuser moi pour tout ce dérangement pour pas grand chose...

Bonne fin de journée