vpn ipcop - winXP

par **cedseven** » 11 Nov 2003 23:52

J'ai honte d'aborder ce sujet qui a fait l'objet d'abondantes discutions sur ce forum. Mais là je n'en peux vraiment plus ... ca fait une semaine que je teste cette config dans tous les sens et je ne trouve pas de solution ... Je vous explique mon problème en deux mots : J'établis un VPN entre un nomade win XP et mon serveur IPCOP, le VPN est établi, les premiers pings passent ... puis plus rien, impossible de pinger à nouveau. Et, bien entendu pas de logs douteux qui pourraient m'éclairer sur ce qui se passe. Pour éviter les désagréables RTF howto's, je précise que j'ai déjà lu une bonne centaine de posts sur ce forum ... et bien sûr, je me suis déjà inspiré du how to : <A HREF="http://www.ixus.net/resume_documents.php?artid=92" TARGET="_blank">http://www.ixus.net/resume_documents.php?artid=92</A> et de la doc officielle IPCOP (how to VPN). Avec le thread suivant j'ai bien cru que j'avais trouvé : <A HREF="http://ixus.net/resume_messages.php?topic=4575" TARGET="_blank">http://ixus.net/resume_messages.php?topic=4575</A> ... mais malheureusement il n'en est rien ... Voici ma config : J'utilise IPCOP version 1.3.0 (patché) et Win XP pro sur win XP ipsec.conf conn clientwin left=moi.dyndns.org leftsubnet=192.168.1.0/24 right=%any presharedkey=pass network=auto auto=start pfs=yes sur IPCOP 1) ipsec.conf config setup interfaces=%defaultroute klipsdebug=none plutodebug=none plutoload=%search plutostart=%search conn clientwin left=moi.dyndns.org compress=no leftsubnet=192.168.1.0/24 leftnexthop=%defaultroute right=%any rightsubnet= rightnexthop=%defaultroute auto=add type=tunnel authby=secret pfs=yes 2) ipsec.secrets moi.dyndns.org %any : PSK "pass" moi.dyndns.org 0.0.0.0 : PSK "pass" voici ce que me donne ipsec.exe sous XP : IPSec Version 2.2.0 (c) 2001-2003 Marcus Mueller Getting running Config ... Microsoft's Windows XP identified Setting up IPSec ... Deactivating old policy... Removing old policy... Connection clientwin: MyTunnel : 217.136.7.137 MyNet : 217.136.7.137/255.255.255.255 PartnerTunnel: moi.dyndns.org PartnerNet : 192.168.1.0/255.255.255.0 CA (ID) : Preshared Key ****************** PFS : y Auto : start Auth.Mode : MD5 Rekeying : 3600S/50000K Activating policy... C:>ping 192.168.1.1 Envoi d'une requête 'ping' sur 192.168.1.1 avec 32 octets de données : Négociation de la sécurité IP. Négociation de la sécurité IP. Réponse de 192.168.1.1 : octets=32 temps=35 ms TTL=63 Réponse de 192.168.1.1 : octets=32 temps=37 ms TTL=63 Statistiques Ping pour 192.168.1.1: Paquets : envoyés = 4, reçus = 2, perdus = 2 (perte 50%), Durée approximative des boucles en millisecondes : Minimum = 35ms, Maximum = 37ms, Moyenne = 36ms C:>ping 192.168.1.1 Envoi d'une requête 'ping' sur 192.168.1.1 avec 32 octets de données : Délai d'attente de la demande dépassé. Délai d'attente de la demande dépassé. Délai d'attente de la demande dépassé. Statistiques Ping pour 192.168.1.1: Paquets : envoyés = 3, reçus = 0, perdus = 3 (perte 100%), Ctrl+C (ca c'est que j'expliquais en haut !) Voici le contenu du log /var/log/secure Nov 11 17:17:38 ipcop pluto[4205]: Starting Pluto (FreeS/WAN Version super-freeswan-1.99_kb2c) Nov 11 17:17:38 ipcop pluto[4205]: including X.509 patch (Version 0.9.15) Nov 11 17:17:38 ipcop pluto[4205]: including NAT-Traversal patch (Version 0.5a) [disabled] Nov 11 17:17:38 ipcop pluto[4205]: ike_alg_register_enc: Activating OAKLEY_AES_CBC: Ok (ret=0) Nov 11 17:17:38 ipcop pluto[4205]: ike_alg_register_enc: Activating OAKLEY_BLOWFISH_CBC: Ok (ret=0) Nov 11 17:17:38 ipcop pluto[4205]: ike_alg_register_enc: Activating OAKLEY_CAST_CBC: Ok (ret=0) Nov 11 17:17:38 ipcop pluto[4205]: ike_alg_register_enc: Activating OAKLEY_SERPENT_CBC: Ok (ret=0) Nov 11 17:17:38 ipcop pluto[4205]: ike_alg_register_hash: Activating OAKLEY_SHA2_256: Ok (ret=0) Nov 11 17:17:38 ipcop pluto[4205]: ike_alg_register_hash: Activating OAKLEY_SHA2_512: Ok (ret=0) Nov 11 17:17:38 ipcop pluto[4205]: ike_alg_register_enc: Activating OAKLEY_TWOFISH_CBC: Ok (ret=0) Nov 11 17:17:38 ipcop pluto[4205]: ike_alg_register_enc: Activating OAKLEY_SSH_PRIVATE_65289: Ok (ret=0) Nov 11 17:17:38 ipcop pluto[4205]: Changing to directory '/etc/ipsec.d/cacerts' Nov 11 17:17:38 ipcop pluto[4205]: Warning: empty directory Nov 11 17:17:38 ipcop pluto[4205]: Changing to directory '/etc/ipsec.d/crls' Nov 11 17:17:38 ipcop pluto[4205]: Warning: empty directory Nov 11 17:17:38 ipcop pluto[4205]: could not open my default X.509 cert file '/etc/x509cert.der' Nov 11 17:17:38 ipcop pluto[4205]: OpenPGP certificate file '/etc/pgpcert.pgp' not found Nov 11 17:17:40 ipcop pluto[4205]: | from whack: got --esp=3des Nov 11 17:17:40 ipcop pluto[4205]: | from whack: got --ike=3des Nov 11 17:17:40 ipcop pluto[4205]: added connection description "clientwin" Nov 11 17:17:40 ipcop pluto[4205]: listening for IKE messages Nov 11 17:17:40 ipcop pluto[4205]: adding interface ipsec0/ppp0 81.240.5.183 Nov 11 17:17:40 ipcop pluto[4205]: loading secrets from "/etc/ipsec.secrets" Nov 11 17:18:05 ipcop pluto[4205]: packet from 217.136.7.137:500: ignoring Vendor ID payload [MS NT5 ISAKMPOAKLEY 00000003] Nov 11 17:18:05 ipcop pluto[4205]: "clientwin"[1] 217.136.7.137 #1: responding to Main Mode from unknown peer 217.136.7.137 Nov 11 17:18:05 ipcop pluto[4205]: "clientwin"[1] 217.136.7.137 #1: Peer ID is ID_IPV4_ADDR: '217.136.7.137' Nov 11 17:18:05 ipcop pluto[4205]: "clientwin"[1] 217.136.7.137 #1: sent MR3, ISAKMP SA established Nov 11 17:18:06 ipcop pluto[4205]: "clientwin"[1] 217.136.7.137 #2: responding to Quick Mode Nov 11 17:18:06 ipcop pluto[4205]: "clientwin"[1] 217.136.7.137 #2: IPsec SA established à priori tout se passe bien ... à priori seulement, car y doit y avoir un truc qui m'échappe. Tout plein de gens ont l'air d'arriver à faire cette chose qui me semble encore inaccessible et je frustre à fond. J'espère que vous me comprendrez et que quelqu'un ici pourra me venir en aide ...

par **Mouarf-fr** » 12 Nov 2003 00:51

Salut, Quel client ipsec utilises tu sur ton XP ? Demain je vais faire ce meme test chez qqn <IMG SRC="images/smiles/icon_smile.gif"> Je pourrais tester avec le meme client que toi et comparer les resultats. Raphaël

par **cedseven** » 12 Nov 2003 10:45

J'utilise le programme de Marcu Mueller (ipsec.exe version 2.2.0) qui est indiqué sur le site d'IPCOP : <A HREF="http://www.ipcop.org/1.2.0/en/vpn/html/win2k-winxp-connection.html" TARGET="_blank">http://www.ipcop.org/1.2.0/en/vpn/html/win2k-winxp-connection.html</A> qui utilise freeswan. je serais curieux d'avoir les détails de cette opération : tiens moi au courant stp ...

par **cedseven** » 14 Nov 2003 11:37

Ok j'ai trouvé ... comme toujours c'était une betise : sur mon PC win XP, le partage de connexion était activé càd NAT ... et le NAT traversal d'IPCOP n'est pas encore au point ... donc voilà une chose à vérifier pour le VPN entre IPCOP et win 2000 / XP

vpn ipcop - winXP

Qui est en ligne ?