VPN : réseau à réseau.

par **Riric** » 11 Sep 2003 11:21

Hello, malgrés plusieurs recherche sur les forums je n'ai pas trouvé de réponse à mes problèmes, aussi voici le détail. (j'ai aussi regardé sur jixen.tripod.com) Je souhaite interconnecter un LAN A (subnet 192.1.1.0/24) avec un LAN B (subnet 192.168.4.0/24), avec un IPCOP de chaque coté. Sur chaque Red, une connexion ADSL (wanamoo) A noter que B comporte plusieurs subnet (pas que 192.168.4.0/24). J'ai suivi le VPN Howto et maintenant j'ai le lien VPN qui s'établit, je le vois car je peux, depuis un PC de A, accéder à la page d'admin de l'IPCOP du B. Mon objectif est de rerouter tout le traffic de A vers B, à travers le VPN => utilisation des DNS de B. Le constat : - impossible de pinguer depuis le même PC, une IP de B - le DNS utilisé est celui configuré pour le RED, donc mon FAI, comment faier pour indiquer le DNS de B lorsque le VPN est up ? - que modifier et surtout de quel coté pour pouvoir attaquer les autres subnets de B ? Petit schéma : IPCOP A (192.1.1.x) - LAN A (192.1.1.0/24) | Internet | IPCOP B (192.168.4.y) - LAN B (plusieurs subnet, serveurs, DNS, etc...) Merci d'avance pour vos réponses (je mets ça en place pour ma boite, alors j'aimerais bien que ça marche) @+

par **belugha** » 11 Sep 2003 11:23

As-tu était voir: <a href="http://vanhees.homeip.net/modules.php?op=modload&name=indexerIpcop&file=index&dir=/VPN/" target="_blank">http://vanhees.homeip.net/modules.php?op=modload&name=indexerIpcop&file=index&dir=/VPN/</a> Il y a une petite astuce concernant les subnets <IMG SRC="images/smiles/icon_wink.gif">

par **Riric** » 11 Sep 2003 11:41

non je ne connaissais pas ce site, par contre, les infos existent déjà sur jixen je crois... penses-tu qu'il faille mettre dans rightsubnet (si on dit que right c'est le réseau B) un truc du genre : 192.168.0.0/16 ? Ceci devrait forcer la route vers ces subnets via ipsec0...je suppose... Eric.

par **belugha** » 11 Sep 2003 11:45

ouaip tu peux toujours tenter <IMG SRC="images/smiles/icon_smile.gif">

par **Riric** » 11 Sep 2003 12:02

pour le DNS une idée ?

par **Riric** » 11 Sep 2003 22:16

bon alors je viens de faire quelques tests...pfiou...dur, dur... BRef, j'ai rajouté un 3 eme point VPN, un peu comme dans la doc citée plus haut. Du coup j'ai (les @ sont sur la pate verte bien sur) : ---------------------------------------IPCOP B (192.1.1.x) - LAN B |IPCOP A (192.168.1.z) - LAN A | ---------------------------------------IPCOP C (192.168.4.y) - LAN C (multi subnet) Autrement dit il y a un lien : - B-C (avec coté C 192.168.0.0/16) - A-B - A-C (dans ce cas là 192.168.4.0/24) de là, j'arrive à faire depuis un PC des LAN : - ping depuis le LAN A vers IPCOP B ou IPCOP C - ping depuis le LAN B vers le LAN A sans problème - ping de LAN B vers IPCOP C, mais PAS vers LAN C. - PAS de ping de LAN A vers LAN C. Comme si IPCOP C ne faisait pas suivre les trames... strange non ? comment faire pour voir si mes requêtes arrivent bien sur IPCOP C ? je viens d'essayer de faire des manip avec tcpdump que je ne connais pas bien et sur un ping j'ai bien l'icmp request mais pas le reply qui passe par l'ipsec0... Y aurait pas un pb de routage dans le LAN C qui ne me retourne pas mes paquets ? Merci d'avance pour votre aide ! @+

par **belugha** » 12 Sep 2003 08:03

As-tu regarder des logs dans /var/log/secure ?

par **Riric** » 12 Sep 2003 11:54

bin le problème c'est que les VPN montent bien. Je ne suis pas sur qu'un ping vers l'un des LAN génère un message dans le fichier secure.

par **belugha** » 12 Sep 2003 11:59

Si tu as des traces ICMP, sinon as-tu essayé un tracert pour savoir la route que prends ton ping ?

par **Riric** » 12 Sep 2003 16:27

faut que j'essaye... par contre, j'ai donc théoriquement 2 VPN, mais est-ce normal que je n'ai qu'un seule interface ipsec0 ? Il ne devrait pas y avoir un ipsec1 ? @+

par **Riric** » 16 Sep 2003 11:15

Bon il semble que la solution soit trouvée et n'ait rien à voir avec IPCop... disons que j'ai un peu zappé vite certains principes de base du rézo ! <IMG SRC="images/smiles/icon_frown.gif"> En fait, dans le LAN multi-subnet, il n'y a aucune route indiquant le chemin à prendre pour dialoguer avec ma passerelle IPCop et mon LAN. La modif est en cours par nos admin rézo...je vous tiendrais au courant ! <IMG SRC="images/smiles/icon_smile.gif">

par **Riric** » 19 Sep 2003 17:12

Bien,alors suite de l'épisode, finalement pour pouvoir accéder au réseau, j'ai mis en place une translation d'adresse à la sortie du VPN coté multi-subnet.... Maintenant je peux pinguer sans problème les devices du réseau B depuis le réseau A. Reste la question de la résolution de nom, comment faire pour que la résolution de nom fonctionne depuis le réseau A ? Par exemple, je veux pouvoir faire depuis un PC du réseau A : <a href="http://serveurreseauA.mondomaine.com/" target="_blank">http://serveurreseauA.mondomaine.com/</a> depuis ce PC... Une idée ? j'ai tenté de mettre dans un fichier de conf les @ des DNS du réseau A, puis j'ai fait un : killall dnsmasq /usr/bin/dnsmasq -l /var/ipcop/dhcp/dhcpd.leases -r monfichier.conf Mais ça ne fonctionne pas... Merci d'avance, Eric.

par **Riric** » 23 Sep 2003 16:39

bon pour ceux que ça interresse, j'ai finalement mis dans ma conf DHCP 2 serveurs DNS : le firewall lui-même et l'une des adresses du LAN B... Ainsi, si le DNS du FAI résoud le nom c'est lui qui prend la main, sinon on essaye sur le DNS du VPN... A priori ça fonctionne bien ! <IMG SRC="images/smiles/icon_biggrin.gif"> (bon sauf pour un site que ma boite a eu la bonne idée de déclarer aussi sur l'extérieur mais avec vérouillage si accès depuis l'Internet....ils sont trop forts !)

VPN : réseau à réseau.

Qui est en ligne ?