IPCOP et VPN Nomade

par **rantom** » 11 Fév 2004 19:47

Est -il possible à l'heure actuel de faire du VPN nomade XP avec Ipcop. Pas du bidouillage mais de la prod.

par **maddam** » 12 Fév 2004 09:59

Moi aussi j'essaye de faire un vpn entre un IPcop 1.3 (patch 1a7) et XP. La doc la plus complète a ce sujet que j'ai pu trouvé est celle-ci : <a href="http://www.ipcop.org/1.2.0/en/vpn/html/win2k-winxp-connection.html" target="_blank">http://www.ipcop.org/1.2.0/en/vpn/html/win2k-winxp-connection.html</a> mais lors de la connection j'ai toujours le meme problème : Qd je ping le green derriere IPCOP depuis XP j'ai le message Negociation de la securité IP ou un truc ds le genre a la place... Essaye cette méthode peut-etre qu'elle fonctionnera ds ton cas.... ? <IMG SRC="images/smiles/icon_confused.gif">

par **sbarbier** » 12 Fév 2004 10:50

messieurs, si vous avez le message négociation de la sécurité ip, c'est que vous faites de l'ipsec. Il faut ouvrir les ports correspondant soit le 500 et 1701 UDP

par **Elfeclair** » 12 Fév 2004 11:09

Le VPN que nous cherchons à mettre en place est entre un client IPSEC (ipsec.exe de vpn.ebootis.de) et FreeSwann de IPCop 1.3. Le VPN de IPCop à IPCop marche super bien et ne nécessite pas d'ouverture manuelle de ports. C'est IPCop qui les ouvre tout seul comme un grand. Je m'interoge donc sur la nécessité d'ouvrir manuellement les ports IPSEC sur IPCop. Il devrait les ouvrir tout seul lui aussi, si la définition du VPN est bien faite, non ? J'ai essayé pas mal de configuration (ipsec.conf) hier et ça ne marche pas. Je vais continuer à chercher, mais si ceux chez qui ça marche pouvaient nous aider ... Merci.

par **maddam** » 12 Fév 2004 14:10

en ouvrant les ports udp 500 et 1701 c'est le meme problème... c'est dommage que l'on puisse pas trouver un document regroupant toutes les méthodes pour faire de Ipcop un centre VPN, j'entend par la une méthode IPCOP-IPCOP, XP2000-IPCOP, etc... Actuellement je fait fonctionner un VPN IPCOP-IPCOP (qui déconnecte assez souvent d'ailleur...) , et je n'arrive pas a connecter de XP "nomade" sur un serveur IPCOP en VPN... Qd j'aurai reussi , grace a votre aide, je regrouperai tous les docs que j'ai.... ...je pense que cela pourra interresser pas mal de monde... Sinon il n'y a un poste récent qui parle de la meme chose....

par **soprom** » 13 Fév 2004 05:22

J'avais le même problème et la solution a été de mettre une adresse IP complète au lieu du subnet: Côté client : conn HEADOFFICE left=mon_domaine.com leftsubnet=192.168.250.0/24 leftprotoport=17/0 right=%any ===>> rightsubnet=192.168.0.201/32 presharedkey=secret_sans_guillemets network=auto auto=start pfs=yes Côté IPcop: conn roadwarrior right=mon_domaine.com rightsubnet=192.168.250.0/24 rightnexthop=%defaultroute type=tunnel authby=secret pfs=yes compress=no auto=add left=%any ===>> leftsubnet=192.168.0.201/32 leftnexthop=%defaultroute Bien humblement... Sophie

par **belugha** » 13 Fév 2004 09:19

<TABLE BORDER=0 ALIGN=CENTER WIDTH=85%><TR><TD>En réponse à:<HR></TD></TR><TR><TD><BLOCKQUOTE> Le 2004-02-11 18:47, rantom a écrit: Est -il possible à l'heure actuel de faire du VPN nomade XP avec Ipcop. Pas du bidouillage mais de la prod. </BLOCKQUOTE></TD></TR><TR><TD><HR></TD></TR></TABLE> Oui c'est tout à fait possible <IMG SRC="images/smiles/icon_wink.gif">

par **Elfeclair** » 13 Fév 2004 10:56

Merci pour ta réponse, ça me permet de ne pas désespérer ... Mais comment fais-tu ? J'ai l'impression d'avoir écumé toutes les Faqs, l'intégralité de ce forum, la mailing list [IPCop-user], les ressources diverses sur le net, et je ne parviens toujours pas à faire fonctionner ce VPN nomade. De plus toutes les méthodes que j'ai trouvé différent légerement : il n'y a pas de consensus ... Ton VPN nomade fonctionne t'il sous Win XP avec le ipsec.exe de ebootis.de ? Merci !

par **Elfeclair** » 13 Fév 2004 11:49

Soprom, Quelle est la signification de : leftprotoport=17/0 dans ton fichier de config ? De plus lorsque tu indique une adresse IP du genre : ===>> rightsubnet=192.168.0.201/32 ===>> leftsubnet=192.168.0.201/32 cela implique de connaître à l'avance l'IP du portable nomade, ce qui réduit la portée du nomade :=)

par **belugha** » 13 Fév 2004 12:14

Le rightsubnet et le leftsubnet concerne les Ips du LAN donc tu peux par avance les connaitre si celle-ci ne sont pas en DHCP . <IMG SRC="images/smiles/icon_wink.gif">

par **Elfeclair** » 13 Fév 2004 12:32

Oui, mais dans tous les cas auquel je pense, lorsque j'aurais besoin de VPN, mon poste nomade sera en DHCP et/ou avec un adressage IP variable selon les sites : - en clientèle branché sur leur réseau - en vacances connecté par mon télephone en GPRS - etc. ... Les seuls cas que je peux maitriser à peu près sont en clientèle fidèle. Là, je connais l'adressage IP et je peux me définir une adresse DHCP "fixe". Dans ce cas, il faut que je définisse autant d'entrées dans ipsec.conf que de sites à partir desquels je veux me connecter enVPN ?

par **musael** » 13 Fév 2004 12:42

bon bah moi je suis dans le meme cas que Elfeclair j'ai toujours le message suivant negociation ip et je" n'arrive toujours pas a resoudre le prb et comme il dis ce n'est pas possible de mettre leftsubnet ou rightsubnet puisque leur adresses seront toujours modifier alors si vous avait une idee je suis preneur. merci d'avance

par **belugha** » 13 Fév 2004 13:12

J'ai déjà traité le sujet plusieurs fois sur le forum mais je vais tout de même contribuer à vous aider <IMG SRC="images/smiles/icon_wink.gif">  Prenons un cas simple pour commencer:  Site A: Ipcop 1.3 + 6 fixes (je prends ce qui fonctionne chez moi) avec pour ip LAN 10.1.0.50 LAN: 10.1.0.0/16 Ip fixe: 217.128.10.5 Site B: Windows XPavec ip dynamique et ip LAN: 10.1.0.55 Config sur Ipcop Pour le fichier ipsec.conf: conn VPNESSAI left=217.128.10.5 compress=no leftsubnet=10.1.0.0/16 leftnexthop=%defaultroute type=tunnel authby=secret pfs=yes right=%any rightnexthop=%defaultroute auto=add le fichier ipsec.secrets 217.128.10.5 %any : PSK "monmotdepasse" Ensuite sur le XP: Le fichier ipsec.conf conn VPNESSAI left=217.128.10.5 compress=no leftsubnet=10.1.0.0/16 leftnexthop=%defaultroute right=%any rightnexthop=%defaultroute auto=start presharedkey=monmotdepasse network=auto Pour lancer la VPN, en fenêtre DOS sur le XP , lancer ipsec, puis un ping avec un -t il faut +sieurs secondes avant que la VPN se monte <IMG SRC="images/smiles/icon_razz.gif"> Controler le fichier /var/log/secure sur l'ipcop pour les logs. J'espère vous avoir assez aidé sur ce coup là, à vous de bosser maintenant <IMG SRC="images/smiles/icon_lol.gif">

par **musael** » 13 Fév 2004 14:25

salut ton message m'a bien aidé mais moi je pense que mon probleme ce situe plus vers les clés RSA et les certificats x509 !! voi la mes message d'erreur dans /var/log/secure : Feb 13 13:21:08 vpngate pluto[12957]: packet from 193.49.31.150:500: Informational Exchange is for an unknown (expired?) SA Feb 13 13:21:08 vpngate pluto[12957]: packet from 193.49.31.150:500: received Vendor ID Payload; ASCII hash: 036+Qi005031034}|026|?5007da Feb 13 13:21:08 vpngate pluto[12957]: "roadwarrior"[3] 193.49.31.150 #3: responding to Main Mode from unknown peer 193.49.31.150 Feb 13 13:21:08 vpngate pluto[12957]: "roadwarrior"[3] 193.49.31.150 #3: encrypted Informational Exchange message is invalid because it is for incomplete ISAKMP SA Feb 13 13:22:18 vpngate pluto[12957]: "roadwarrior"[3] 193.49.31.150 #3: max number of retransmissions (2) reached STATE_MAIN_R2 Feb 13 13:22:18 vpngate pluto[12957]: "roadwarrior"[3] 193.49.31.150: deleting connection "roadwarrior" instance with peer 193.49.31.150 {isakmp=#0/ipsec=#0} alors si tu peux m'aider la dessus franchement ça me ferait plaisir!! <IMG SRC="images/smiles/icon_bise.gif">

par **maddam** » 13 Fév 2004 14:37

Dis moi donc Belugha...(dernière pitite question...) Puis-je installer par exemple un dns.no-ip.com pour l'inserer dans mon ipsec.conf dans le right?? (ex right=trucmuch.dyndns.org)

IPCOP et VPN Nomade

Qui est en ligne ?