VPN entre ipcop V1.2 et Winxp avec certif x509

par **shubnigourat** » 17 Sep 2003 11:22

Bonjour, Depuis qq semaine je teste le VPN entre des config diverses et variées. W2k-W2k sur un LAN W2k-W2k via l ADSL et au travers de FW W2k-W2k via l ADSL au travers de Routeur NAT W2K-Ipcop en local Ipcop-W2k via ADSL c est jamais sans problemes mais en general il suffit de consulter les logs et corriger qq erreurs de syntaxe dans les fichiers de conf. Parfois une bonne relecture des tres bon How-to dispo sur le web fait avancer les chose. Au pire on fait une petite recherche dans l abondante ressource du forum Ixux et on finit par trouver ! Encore bravo a toutes les personnes qui animent ce forum ! Malheureusement aujourd'hui je suis complettement bloqué. je teste une conf ipcop-w2k a travers l ADSL et des routeurs NAT avec authentification par certificat x509 Le probleme c est que les 2 parties se voient, commence a echanger des données mais la negotiation n abouti jamais. Ca ressemble a un bete pb de conf mais je vois vraiment pas ou. Un probleme avec les certificats ? La j y connais pas grand chose. Je me suis contenté de suivre le How-to suivant : <a href="http://www.decaservices.com/docs/securite/vpn/freeswan.html" target="_blank">http://www.decaservices.com/docs/securite/vpn/freeswan.html</a> J'attends votre analyse car je commence a desespérer. En attendant je vais tester la conf avec une authentification RSA simple. ---------------------------------------- Voila un schema detaillé : Coté Passerelle Ipcop Passerelle---------red --------- Routeur NAT ----- Modem ADSL --- Internet Ipcop v1.2 192.168.0.1 192.168.0.254 Ip fixe | 81.80.167.xx Green 10.0.0.1 | Reseau A 10.0.0.0/24 Coté PC winXp Internet----Modem ADSL-------PC Winxp @Ip variable FW Look'n'Stop 213.103.xx.xx Au niveau du routeur NAT UDP 500 et protocole 50/51 ont été tranféré sur l interface rouge de la passerelle Ipcop. ipsec.conf coté ipcop : ------------------------- config setup interfaces=%defaultroute uniqueids=yes plutodebug=all plutoload=%search plutostart=%search syslog=syslog.info conn %default keyingtries=0 compress=yes authby=rsasig conn SDC_GEMENOS left=%defaultroute leftsubnet=10.0.0.0/24 leftnexthop= leftcert=firewall.pem leftrsasigkey=%cert right=%any rightnexthop=%defaultroute rightrsasigkey=%cert pfs=yes auto=add ipsec.secrets : --------------- : RSA firewall.key "ab&l40v" ipsec.conf coté winXP : -------------------------- conn road left=%any leftsubnet=213.103.xx.xx/32 right=81.80.167.xx rightsubnet=10.0.0.0/24 rightca="C=FR, S=France, L=Gemenos, O=Coframi, CN=firewall, Email=shubnigourat@yahoo.fr" network=auto auto=start pfs=yes -------------------------- J ai verifié le FW sous win2k. j ai fait verifié le transfert de UDP 500 et protocole 50/51 vers la passerelle Ipcop par mon FAI Oleane. Tout a l air OK. Pour ce qui est de la conf Ipcop #ipsec auto --rereadall #ipsec auto --listall ne renvoie aucune erreur. Voila les logs au demarrage de ipsec #/usr/local/bin/ipsecctrl R # tail -f /var/log/messages Sep 17 11:01:38 firewall ipsec_setup: ...FreeS/WAN IPsec stopped Sep 17 11:01:47 firewall ipsec_setup: Stopping FreeS/WAN IPsec... Sep 17 11:01:47 firewall ipsec_setup: stop ordered, but IPsec does not appear to be running! Sep 17 11:01:47 firewall ipsec_setup: doing cleanup anyway... Sep 17 11:01:50 firewall ipsec_setup: ...FreeS/WAN IPsec stopped Sep 17 11:01:55 firewall ipsec_setup: Starting FreeS/WAN IPsec 1.99... Sep 17 11:01:57 firewall ipsec_setup: KLIPS debug `none' Sep 17 11:02:01 firewall ipsec_setup: KLIPS ipsec0 on eth2 192.168.0.1/255.255.255.0 broadcast 192.168.0.255 Sep 17 11:02:02 firewall dansguardian: Error connecting to proxy Sep 17 11:02:03 firewall ipsec_setup: ...FreeS/WAN IPsec started # tail -f /var/log/secure Sep 17 11:02:24 firewall pluto[12605]: | IP interface eth0 10.0.0.1 has no matching ipsec* interface -- ignored Sep 17 11:02:24 firewall pluto[12605]: | IP interface lo 127.0.0.1 has no matching ipsec* interface -- ignored Sep 17 11:02:24 firewall pluto[12605]: | could not open /proc/net/if_inet6 Sep 17 11:02:24 firewall pluto[12605]: loading secrets from "/etc/ipsec.secrets" Sep 17 11:02:24 firewall pluto[12605]: loaded private key file '/etc/ipsec.d/private/firewall.key' (963 bytes) Sep 17 11:02:24 firewall pluto[12605]: | file content is not binary ASN.1 Sep 17 11:02:24 firewall pluto[12605]: | -----BEGIN RSA PRIVATE KEY----- Sep 17 11:02:24 firewall pluto[12605]: | Proc-Type: 4,ENCRYPTED Sep 17 11:02:24 firewall pluto[12605]: | DEK-Info: DES-EDE3-CBC,B91CB0DDB00038DE Sep 17 11:02:24 firewall pluto[12605]: | -----END RSA PRIVATE KEY----- Sep 17 11:02:24 firewall pluto[12605]: | decrypting file using 'DES-EDE3-CBC' Sep 17 11:02:24 firewall pluto[12605]: | file coded in PEM format Sep 17 11:02:24 firewall pluto[12605]: | L0 - RSAPrivateKey: Sep 17 11:02:24 firewall pluto[12605]: | L1 - version: Sep 17 11:02:24 firewall pluto[12605]: | L1 - modulus: Sep 17 11:02:24 firewall pluto[12605]: | L1 - publicExponent: Sep 17 11:02:24 firewall pluto[12605]: | L1 - privateExponent: Sep 17 11:02:24 firewall pluto[12605]: | L1 - prime1: Sep 17 11:02:24 firewall pluto[12605]: | L1 - prime2: Sep 17 11:02:24 firewall pluto[12605]: | L1 - exponent1: Sep 17 11:02:24 firewall pluto[12605]: | L1 - exponent2: Sep 17 11:02:24 firewall pluto[12605]: | L1 - coefficient: Sep 17 11:02:24 firewall pluto[12605]: | next event EVENT_SHUNT_SCAN in 99 seconds Les logs lorsque le client winXP tentent d ouvrir le tunnel : Sep 16 23:50:53 firewall pluto[29140]: | *received 216 bytes from 213.103.4.57:500 on eth2 Sep 16 23:50:53 firewall pluto[29140]: | 36 00 72 d9 57 32 b7 e8 00 00 00 00 00 00 00 00 .... .... .... Sep 16 23:50:53 firewall pluto[29140]: | **parse ISAKMP Message: Sep 16 23:50:53 firewall pluto[29140]: | initiator cookie: Sep 16 23:50:53 firewall pluto[29140]: | 36 00 72 d9 57 32 b7 e8 Sep 16 23:50:53 firewall pluto[29140]: | responder cookie: Sep 16 23:50:53 firewall pluto[29140]: | 00 00 00 00 00 00 00 00 Sep 16 23:50:53 firewall pluto[29140]: | next payload type: ISAKMP_NEXT_SA Sep 16 23:50:53 firewall pluto[29140]: | ISAKMP version: ISAKMP Version 1.0 Sep 16 23:50:53 firewall pluto[29140]: | exchange type: ISAKMP_XCHG_IDPROT Sep 16 23:50:53 firewall pluto[29140]: | flags: none Sep 16 23:50:53 firewall pluto[29140]: | message ID: 00 00 00 00 Sep 16 23:50:53 firewall pluto[29140]: | length: 216 Sep 16 23:50:53 firewall pluto[29140]: | ***parse ISAKMP Security Association Payload: Sep 16 23:50:53 firewall pluto[29140]: | next payload type: ISAKMP_NEXT_VID Sep 16 23:50:53 firewall pluto[29140]: | length: 164 Sep 16 23:50:53 firewall pluto[29140]: | DOI: ISAKMP_DOI_IPSEC Sep 16 23:50:53 firewall pluto[29140]: | ***parse ISAKMP Vendor ID Payload: Sep 16 23:50:54 firewall pluto[29140]: | next payload type: ISAKMP_NEXT_NONE Sep 16 23:50:54 firewall pluto[29140]: | length: 24 Sep 16 23:50:54 firewall pluto[29140]: packet from 213.103.4.57:500: ignoring Vendor ID payload Sep 16 23:50:54 firewall pluto[29140]: | VID: 1e 2b 51 69 05 99 1c 7d 7c 96 fc bf b5 87 e4 61 Sep 16 23:50:54 firewall pluto[29140]: | 00 00 00 03 Sep 16 23:50:54 firewall pluto[29140]: packet from 213.103.4.57:500: initial Main Mode message received on 192.168.0.1:500 but no connection has been authorized ce qui me derange c est Sep 16 23:50:54 firewall pluto[29140]: packet from 213.103.4.57:500: ignoring Vendor ID payload et Sep 16 23:50:54 firewall pluto[29140]: packet from 213.103.4.57:500: initial Main Mode message received on 192.168.0.1:500 but no connection has been authorized du cote de la log win2K Oakley on a qq chose du type "l autre partie n a pas repondu" le probleme semble donc etre du coté d Ipcop.

par **shubnigourat** » 17 Sep 2003 14:36

En analysant a nouveau mes logs /var/log/secure il semble que je me sois approché tres pret du but lors de ma derniere tentative cette nuit : Sep 17 01:26:49 firewall pluto[31621]: | Sep 17 01:26:49 firewall pluto[31621]: | *received 84 bytes from 213.103.4.57:500 on eth2 Sep 17 01:26:49 firewall pluto[31621]: | d0 bb b1 ca 43 1b cf 32 f8 8c db 22 08 64 83 75 Sep 17 01:26:49 firewall pluto[31621]: | 08 10 05 01 ff 25 79 db 00 00 00 54 59 0f be 27 Sep 17 01:26:49 firewall pluto[31621]: | 4a 6d 15 19 f7 c7 a9 51 a2 91 18 51 66 08 45 d6 Sep 17 01:26:49 firewall pluto[31621]: | 0d 42 f1 ce 76 13 be d4 7a 36 66 27 3a a6 1c 54 Sep 17 01:26:49 firewall pluto[31621]: | 11 86 60 4c 5c 54 08 15 1f a4 84 69 8b b1 26 4f Sep 17 01:26:49 firewall pluto[31621]: | 9f 97 77 01 Sep 17 01:26:49 firewall pluto[31621]: | **parse ISAKMP Message: Sep 17 01:26:49 firewall pluto[31621]: | initiator cookie: Sep 17 01:26:49 firewall pluto[31621]: | d0 bb b1 ca 43 1b cf 32 Sep 17 01:26:49 firewall pluto[31621]: | responder cookie: Sep 17 01:26:49 firewall pluto[31621]: | f8 8c db 22 08 64 83 75 Sep 17 01:26:49 firewall pluto[31621]: | next payload type: ISAKMP_NEXT_HASH Sep 17 01:26:49 firewall pluto[31621]: | ISAKMP version: ISAKMP Version 1.0 Sep 17 01:26:49 firewall pluto[31621]: | exchange type: ISAKMP_XCHG_INFO Sep 17 01:26:49 firewall pluto[31621]: | flags: ISAKMP_FLAG_ENCRYPTION Sep 17 01:26:49 firewall pluto[31621]: | message ID: ff 25 79 db Sep 17 01:26:49 firewall pluto[31621]: | length: 84 Sep 17 01:26:49 firewall pluto[31621]: | ICOOKIE: d0 bb b1 ca 43 1b cf 32 Sep 17 01:26:49 firewall pluto[31621]: | RCOOKIE: f8 8c db 22 08 64 83 75 Sep 17 01:26:49 firewall pluto[31621]: | peer: d5 67 04 39 Sep 17 01:26:49 firewall pluto[31621]: | state hash entry 13 Sep 17 01:26:49 firewall pluto[31621]: | state object not found Sep 17 01:26:50 firewall pluto[31621]: packet from 213.103.4.57:500: Informational Exchange is for an unknown (expired?) SA Sep 17 01:26:50 firewall pluto[31621]: | next event EVENT_SHUNT_SCAN in 97 seconds Il semble y avoir un pb avec les certificats si j en crois cette erreur Sep 17 01:26:50 firewall pluto[31621]: packet from 213.103.4.57:500: Informational Exchange is for an unknown (expired?) SA 213.103.4.57 etait l Ip variable du PC winxp cette nuit. Quelqu un s y connait il en certificat x509 ? j ai suivit cette doc : <a href="http://www.decaservices.com/docs/securite/vpn/freeswan.html" target="_blank">http://www.decaservices.com/docs/securite/vpn/freeswan.html</a> Malgres la qualité de ce tuto, il y a des chose qui m ont echappé. la creation des certif pour la machine win2k par exemple

par **belugha** » 18 Sep 2003 08:25

Bonjour, Ipcop ne gére pas le certificat X509, si tu veux l'utiliséer il faut la MNF. Par contre tu peux te servir d'Ipcop par des VPN Ipsec mais qui seront gérer par la clé PSK. <IMG SRC="images/smiles/icon_smile.gif">

par **shubnigourat** » 18 Sep 2003 11:36

Ipcop pas compatible x509 ?? Il me semblait qu il y avait un patch FreeSWAN pour le support des certificats x509 et que ce patch etait deja appliqué sous Ipcop. J'attends plus d info la dessus car ca compromet bp de chose pour mon projet. Toute mon architecture repose sur des Ipcop (deja en prod). PSK ne traverse pas le NAT donc c est exclu dans mon cas Le How-to-VPN derriere un routeur NAT explique bien la procedure : Il faut remplacer l authentification PSK par RSA Entre 2 ipcop le VPN marche impecable a travers un NAT si le port UDP 500 et le protocole 50 sont forwardé depuis les routeurs vers les interfaces RED des Ipcops. Mon probleme c est que dans une conf ipsec--routeurNAT--Internet--modemADSL--Win2k il n est visiblement pas possible de configurer RSA sous win2K sans passer par le certificat les certificats sont indispensables pour conserver une bonne interoperabilité entre OS(linux/unix/windows) et les applications.

par **belugha** » 18 Sep 2003 11:49

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2003-09-18 11:36, shubnigourat a écrit: Ipcop pas compatible x509 ?? Il me semblait qu il y avait un patch FreeSWAN pour le support des certificats x509 et que ce patch etait deja appliqué sous Ipcop. J'attends plus d info la dessus car ca compromet bp de chose pour mon projet. Toute mon architecture repose sur des Ipcop (deja en prod). PSK ne traverse pas le NAT donc c est exclu dans mon cas Le How-to-VPN derriere un routeur NAT explique bien la procedure : Il faut remplacer l authentification PSK par RSA Entre 2 ipcop le VPN marche impecable a travers un NAT si le port UDP 500 et le protocole 50 sont forwardé depuis les routeurs vers les interfaces RED des Ipcops. Mon probleme c est que dans une conf ipsec--routeurNAT--Internet--modemADSL--Win2k il n est visiblement pas possible de configurer RSA sous win2K sans passer par le certificat les certificats sont indispensables pour conserver une bonne interoperabilité entre OS(linux/unix/windows) et les applications. </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Ben si tu le dis <IMG SRC="images/smiles/icon_razz.gif">

par **shubnigourat** » 18 Sep 2003 12:03

Désolé je reviens a la charge mais il est vraiment important que je tire cette affaire au clair. Ipcop et certificat x509 ca marche ou pas ? J ai généré des certificats selon ce How-to <a href="http://www.decaservices.com/docs/securite/vpn/freeswan.html" target="_blank">http://www.decaservices.com/docs/securite/vpn/freeswan.html</a> sur mon ipcop, les certificats sont bien chargés. Enfin les logs en donnent l impression. je ne suis plus sur de rien. Il y a meme une indication concernant la version du patch x509. Sep 18 11:48:49 firewall ipsec__plutorun: Starting Pluto subsystem... Sep 18 11:48:49 firewall pluto[25486]: Starting Pluto (FreeS/WAN Version 1.99) Sep 18 11:48:49 firewall pluto[25486]: including X.509 patch (Version 0.9.15) Sep 18 11:48:49 firewall pluto[25486]: | opening /dev/urandom Sep 18 11:48:49 firewall pluto[25486]: | inserting event EVENT_REINIT_SECRET, timeout in 3600 seconds et plus loin : Sep 18 11:48:50 firewall pluto[25486]: Changing to directory '/etc/ipsec.d/cacerts' Sep 18 11:48:50 firewall pluto[25486]: loaded cacert file 'cacert.pem' (1281 bytes) Sep 18 11:48:50 firewall pluto[25486]: | file content is not binary ASN.1 Sep 18 11:48:50 firewall pluto[25486]: | -----BEGIN CERTIFICATE----- Sep 18 11:48:50 firewall pluto[25486]: | -----END CERTIFICATE----- Sep 18 11:48:50 firewall pluto[25486]: | file coded in PEM format .... Sep 18 11:48:57 firewall pluto[25486]: Changing to directory '/etc/ipsec.d/crls' Sep 18 11:48:57 firewall pluto[25486]: loaded crl file 'crl.pem' (516 bytes) Sep 18 11:48:57 firewall pluto[25486]: | file content is not binary ASN.1 Sep 18 11:48:57 firewall pluto[25486]: | -----BEGIN X509 CRL----- Sep 18 11:48:57 firewall pluto[25486]: | -----END X509 CRL----- Sep 18 11:48:57 firewall pluto[25486]: | file coded in PEM format .... Sep 18 11:48:59 firewall pluto[25486]: could not open my default X.509 cert file '/etc/x509cert.der' Sep 18 11:48:59 firewall pluto[25486]: OpenPGP certificate file '/etc/pgpcert.pgp' not found Sep 18 11:48:59 firewall pluto[25486]: | next event EVENT_SHUNT_SCAN in 111 seconds Sep 18 11:48:59 firewall pluto[25486]: | Sep 18 11:48:59 firewall pluto[25486]: | *received whack message Sep 18 11:48:59 firewall pluto[25486]: loaded host cert file '/etc/ipsec.d/firewall.pem' (3635 bytes) Sep 18 11:48:59 firewall pluto[25486]: | file content is not binary ASN.1 Sep 18 11:48:59 firewall pluto[25486]: | -----BEGIN CERTIFICATE----- Sep 18 11:48:59 firewall pluto[25486]: | -----END CERTIFICATE----- Sep 18 11:48:59 firewall pluto[25486]: | file coded in PEM format ..... Sep 18 11:49:08 firewall pluto[25486]: loaded host cert file '/etc/ipsec.d/client.pem' (3578 bytes) Sep 18 11:49:08 firewall pluto[25486]: | file content is not binary ASN.1 Sep 18 11:49:08 firewall pluto[25486]: | -----BEGIN CERTIFICATE----- Sep 18 11:49:08 firewall pluto[25486]: | -----END CERTIFICATE----- Sep 18 11:49:08 firewall pluto[25486]: | file coded in PEM format Bref le certificat Root, et les certifs ipcop (firewall.pem) et client WinXp (client.pem) sont bien chargés.

par **shubnigourat** » 19 Sep 2003 10:22

Bonjour, J ai renouvellé les tests cette nuit mais malheureusement sans plus. #ipsec verify #ipsec auto --rereadall #ipsec auto --listall -->Aucun souci pas de pb de syntaxe ou de configuration sur la passerelle ipcop. Les certificats sont bien listées par ipsec auto --listall. Au demarrage de ipsec. pas de pb dans les log /var/adm/messages et /var/adm/secure Je pense que la config de la passerelle Ipcop n est pas en cause. Cette passerelle fonctionne tres bien en VPN vers un autre Ipcop par exemple. Meme chose si on procede vers un PC avec une authentification PSK (hors NAT). Le probleme c est clairement l utilisation des certificats : - soit la creation n est pas bien faite. Mais dans ce cas les certificats ne seraient ils pas rejetés par ipcop et le winXP ? - soit un pb dans le fonctionnement des certificats sous Windows (que je connais mal) Qq trucs dont je voudrais etre sur : le nom donné au fichier certificat (ex : "client".pem) ainsi que le CN configuré lors de la creation du certificat (dans CA.sh -newreq) doivent correspondre exactement au hostname de la machine ? Ex : Mon client s appelle "testbed" alors dans la creation du certif je configure CN=testbed ensuite je renomme newreq.pem en testbed.pem pour le CN, si il n y a pas de nom de domaine (FQDN) seulement le hostname, faut il enregistrer le hostname de l autre partie dans le fichier host ? ex: enregister sur le serveur 213.103.xx.xx client et enregistrer sur le client 81.80.xx.xx server

par **shubnigourat** » 30 Sep 2003 15:19

Je rentre de congé. Alors personne n'utilise l'authentification par certificat pour le VPN entre Ipcop et des clients windows ?

VPN entre ipcop V1.2 et Winxp avec certif x509

Qui est en ligne ?